Edições sem fio comuns da cábula

Transcrição

1 Edições sem fio comuns da cábula Índice Introdução Componentes usados Breve estado PEM na saída do cliente da mostra Cenário 1: Frase de passagem desconfigurado para a autenticação WPA/WPA2 PSK no cliente Cenário 2: O telefone sem fio Handsets(792x/9971) não associa com das a área de serviço sem fio folhas Cenário 3: Cliente configurado para o WPA mas o AP configurados somente para o WPA2 Encenação 4: Analise gramaticalmente códigos do retorno ou da resposta AAA. Encenação 5: O cliente não associa ao AP Encenação 6: Desassociação do cliente devido ao idle timeout Encenação 7: Desassociação do cliente devido ao timeout de sessão Encenação 8: Desassociação do cliente devido às mudanças WLAN Encenação 9: Desassociação do cliente devido ao supressão manual de WLC Encenação 10: Desassociação do cliente devido ao intervalo da autenticação Encenação 11: Desassociação do cliente devido ao rádio AP restaurado (potência/canal) Encenação 12: Problemas de cliente de Symantec com 802.1X timeoutevt Encenação 13: O serviço da cópia do ar não aparece para clientes com mdns que a espião girou sobre Encenação 14: O cliente de Apple IO incapaz de juntar-se à rede devida desabilitou a mudança rápida SSID Encenação 15: Associação bem sucedida do cliente LDAP Encenação 16: Authenticação do cliente falhada no LDAP Encenação 17: As edições da associação do cliente devido ao LDAP são desconfigurados em WLC Encenação 18: Edições da associação do cliente quando o servidor ldap for inacessível Encenação 19: Edições vagueando do cliente de Apple devido a configuração vagueando pegajosa faltante Encenação 20: Verifique Rápido-Seguro-vaguear (FSR) com CCKM Encenação 21: Verifique Rápido-Seguro-vaguear (FSR) com esconderijo WPA2 PMKID Encenação 22: Verificando vaguear Rápido-seguro com esconderijo chave dinâmico Encenação 23: Verifique Rápido-Seguro-vaguear (FSR) com r Introdução Este original descreve uma cábula que analise gramaticalmente debugue completamente (geralmente debugar o cliente < o >") do MAC address para edições sem fio comuns. Para analisar gramaticalmente através da do cliente mostra e debuga exigir-nos-á a primeiramente compreendem alguns estados PEM e estados APF. Contribuído por Shankar Ramanathan, engenheiro de TAC da Cisco.

2 Componentes usados A informação neste documemt é baseada em todos os controladores de AireOS. Controladores 440x, os 5508, 5520, 75xx,85xx, 2504 e vwlc assim como Wisms. Embora muitos conceitos sejam idênticos em controladores e no Switches convirgidos do acesso IOS-XE, este original não se aplica lhes como saídas e debuga-se é radicalmente diferente. As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se sua rede está viva, assegure-se de que você compreenda o impacto potencial do comando any. Informe o estado PEM na saída do cliente da mostra COMEÇO Estado inicial para a entrada de cliente nova. AUTHCHECK O WLAN tem uma política de autenticação L2 a reforçar. 8021X_REQD O cliente deve terminar a autenticação do 802.1x. L2AUTHCOMPLETE O cliente terminou com sucesso a política L2. O processo pode agora continuar às políticas L3 (aprendizagem de endereço, AUTH da Web, etc.). O controlador envia aqui o anúncio da mobilidade para aprender a informação L3 de outros controladores se este é um cliente vagueando no mesmo grupo da mobilidade. WEP_REQD O cliente deve terminar a autenticação WEP. DHCP_REQD O controlador precisa de aprender o endereço L3 do cliente, que é feito pelo pedido ARP, requisição DHCP ou renova, ou pela informação aprendida do outro controlador no grupo da mobilidade. Se o DHCP exigido é marcado no WLAN, simplesmente a informação DHCP ou de mobilidade está usada. WEBAUTH_REQD O cliente deve terminar a autenticação da Web. (Política L3) CENTRAL_WEBAUTH_REQD -- O cliente deve terminar o início de uma sessão CWA, esperas WLC para receber o CoA SEJA EXECUTADO O cliente terminou com sucesso as políticas L2 e L3 exigidas e pode agora transmitir o tráfego à rede. A chave dada das mostras das encenações debuga as linhas para faltas de configuração comum em instalações sem fio, essas os parâmetros chaves dos destaques em corajoso. Cenário 1: Frase de passagem desconfigurado para a autenticação WPA/WPA2 PSK no cliente (Cisco Controller) >show client detail 24:77:03:19:fb:70 Client MAC Address... 24:77:03:19:fb:70 Client Username... N/A AP MAC Address... ec:c8:82:a4:5b:c0 AP Name... Shankar_AP_1042

3 AP radio slot Id... 1 Client State... Associated Client NAC OOB State... Access Wireless LAN Id... 5 Hotspot (802.11u)... Not Supported BSSID... ec:c8:82:a4:5b:cb Connected For... 0 secs Channel IP Address... Unknown Gateway Address... Unknown Netmask... Unknown Association Id... 1 Authentication Algorithm... Open System Reason Code... 1 Status Code... 0 Session Timeout... 0 Client CCX version... 4 Client E2E version... 1 QoS Level... Silver Avg data Rate... 0 Burst data Rate... 0 Avg Real time data Rate... 0 Burst Real Time data Rate P Priority Tag... 2 CTS Security Group Tag... Not Applicable KTS CAC Capability... No WMM Support... Enabled APSD ACs... BK BE VI VO Power Save... OFF Current Rate... m15 Supported Rates ,9.0,12.0,18.0,24.0,36.0, ,54.0

4 Mobility State... None Mobility Move Count... 0 Security Policy Completed... No Policy Manager State X_REQD //This proves client is struggling to clear Layer-2 authentication. It means we have to move to debug to understand where in L-2 we are failing Policy Manager Rule Created... Yes Audit Session ID... none AAA Role Type... none Local Policy Applied... none IPv4 ACL Name... none FlexConnect ACL Applied Status... Unavailable IPv4 ACL Applied Status... Unavailable IPv6 ACL Name... none IPv6 ACL Applied Status... Unavailable Layer2 ACL Name... none Layer2 ACL Applied Status... Unavailable mdns Status... Enabled mdns Profile Name... default-mdns-profile No. of mdns Services Advertised... 0 Policy Type... WPA2 Authentication Key Management... PSK Encryption Cipher... CCMP (AES) Protected Management Frame... No Management Frame Protection... No EAP Type... Unknown Interface... vlan21 VLAN Quarantine VLAN... 0 Access VLAN Client Capabilities: CF Pollable... Not implemented CF Poll Request... Not implemented Short Preamble... Not implemented PBCC... Not implemented Channel Agility... Not implemented Listen Interval Fast BSS Transition... Not implemented Client Wifi Direct Capabilities: WFD capable... No Manged WFD capable... No Cross Connection Capable... No Support Concurrent Operation... No Fast BSS Transition Details: Client Statistics: Number of Bytes Received Number of Bytes Sent Number of Packets Received... 3 Number of Packets Sent... 4 Number of Interim-Update Sent... 0 Number of EAP Id Request Msg Timeouts... 0 Number of EAP Id Request Msg Failures... 0 Number of EAP Request Msg Timeouts... 0 Number of EAP Request Msg Failures... 0 Number of EAP Key Msg Timeouts... 0 Number of EAP Key Msg Failures... 0 Number of Data Retries... 0 Number of RTS Retries... 0 Number of Duplicate Received Packets... 0 Number of Decrypt Failed Packets... 0 Number of Mic Failured Packets... 0 Number of Mic Missing Packets... 0 Number of RA Packets Dropped... 0 Number of Policy Errors... 0 Radio Signal Strength Indicator dbm Signal to Noise Ratio db Client Rate Limiting Statistics: Number of Data Packets Recieved... 0 Number of Data Rx Packets Dropped... 0 Number of Data Bytes Recieved... 0 Number of Data Rx Bytes Dropped... 0 Number of Realtime Packets Recieved... 0 Number of Realtime Rx Packets Dropped... 0 Number of Realtime Bytes Recieved... 0 Number of Realtime Rx Bytes Dropped... 0 Number of Data Packets Sent... 0 Number of Data Tx Packets Dropped... 0 Number of Data Bytes Sent... 0 Number of Data Tx Bytes Dropped... 0 Number of Realtime Packets Sent... 0 Number of Realtime Tx Packets Dropped... 0 Number of Realtime Bytes Sent... 0 Number of Realtime Tx Bytes Dropped... 0 Nearby AP Statistics: Shankar_AP_1602(slot 0) antenna0: 0 secs ago dbm antenna1: 0 secs ago dbm Shankar_AP_1602(slot 1) antenna0: 1 secs ago dbm antenna1: 1 secs ago dbm Shankar_AP_3502(slot 0) antenna0: 0 secs ago dbm antenna1: 0 secs ago dbm Shankar_AP_1042(slot 0) antenna0: 0 secs ago dbm antenna1: 0 secs ago dbm Shankar_AP_1042(slot 1) antenna0: 0 secs ago dbm antenna1: 0 secs ago dbm DNS Server details: DNS server IP DNS server IP Assisted Roaming Prediction List details: Client Dhcp Required: False Allowed (URL)IP Addresses

5 Debugar a análise do cliente (Cisco Controller) >debug client 24:77:03:19:fb:70 *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Association received from mobile on BSSID 08:cc:68:67:1f:fb //Client has initiated association for AP with BSSID 08:cc:68:67:1f:fb *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Global 200 Clients are allowed to AP radio *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Max Client Trap Threshold: 0 cur: 0 *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Rf profile 600 Clients are allowed to AP wlan *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Applying Interface policy on Mobile, role Unassociated. Ms NAC State 2 Quarantine Vlan 0 Access Vlan 21 *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 Re-applying interface policy for client *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb: START (0) Changing IPv4 ACL 'none' (ACL ID 255) ===> 'none' (ACL ID 255) --- (caller apf_policy.c:2202) *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb: START (0) Changing IPv6 ACL 'none' (ACL ID 255) ===> 'none' (ACL ID 255) --- (caller apf_policy.c:2223) *apfmsconntask_4: May 07 17:03:56.060: 24:77:03:19:fb:70 apfapplywlanpolicy: Apply WLAN Policy over PMIPv6 Client Mobility Type *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 In processssidie:4795 setting Central switched to TRUE *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 In processssidie:4798 apvapid = 5 and Split Acl Id = *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Applying site-specific Local Bridging override for station 24:77:03:19:fb:70 - vapid 5, site 'default-group', interface 'vlan21' *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Applying Local Bridging Interface Policy for station 24:77:03:19:fb:70 - vlan 21, interface id 14, interface 'vlan21' *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 processssidie statuscode is 0 and status is 0 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 processssidie ssid_done_flag is 0 finish_flag is 0 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 STA - rates (8):

6 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 supprates statuscode is 0 and gotsupprateselement is 1 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Processing RSN IE type 48, length 22 for mobile 24:77:03:19:fb:70 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 pemapfdeletemobilestation2: APF_MS_PEM_WAIT_L2_AUTH_COMPLETE = 0. *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb: START (0) Deleted mobile LWAPP rule on AP [ec:c8:82:a4:5b:c0] *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Updated location for station old AP ec:c8:82:a4:5b:c0-1, new AP 08:cc:68:67:1f:f0-1 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Updating AID for REAP AP Client 08:cc:68:67:1f:f0 - AID ===> 1 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb: START (0) Initializing policy *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb: START (0) Change state to AUTHCHECK (2) last state START (0) *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb: AUTHCHECK (2) Change state to 8021X_REQD (3) last state AUTHCHECK (2)// Client entering L2 authentication stage *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Central switch is TRUE *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb:70 Not Using WMM Compliance code qoscap 00 *apfmsconntask_4: May 07 17:03:56.061: 24:77:03:19:fb: X_REQD (3) Plumbed mobile LWAPP rule on AP 08:cc:68:67:1f:f0 vapid 5 apvapid 5 flex-aclname: *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 apfmsassostateinc *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 apfpemadduser2 (apf_policy.c:333) Changing state for mobile 24:77:03:19:fb:70 on AP 08:cc:68:67:1f:f0 from Disassociated to Associated *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 apfpemadduser2:session timeout forstation 24:77:03:19:fb:70 - Session Tout 0, apfmstimeout '0' and sessiontimerrunning flag is 0 *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 Stopping deletion of Mobile Station: (callerid: 48) *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 Func: apfpemadduser2, Ms Timeout = 0, Session Timeout = 0 *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 Sending Assoc Response to station on BSSID 08:cc:68:67:1f:fb (status 0) ApVapId 5 Slot 1 *apfmsconntask_4: May 07 17:03:56.062: 24:77:03:19:fb:70 apfprocessassocreq (apf_80211.c:8292) Changing state for mobile 24:77:03:19:fb:70 on AP 08:cc:68:67:1f:f0 from Associated to Associated *spamaptask3: May 07 17:03:56.065: 24:77:03:19:fb:70 Sent 1x initiate message to multi thread task for mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.065: 24:77:03:19:fb:70 Creating a PKC PMKID Cache entry for station 24:77:03:19:fb:70 (RSN 2) *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Resetting MSCB PMK Cache Entry 0 for station 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Removing BSSID ec:c8:82:a4:5b:cb from PMKID cache of station 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Setting active key cache index > 8 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Setting active key cache index 8 ---> 0 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Adding BSSID 08:cc:68:67:1f:fb to PMKID cache at index 0 for station 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: New PMKID: (16) *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: [0000] d7 57 8e ff 2b e b 1c 1f 46 d2 da *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Initiating RSN PSK to mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 EAP-PARAM Debug - eap-params for Wlan-Id :5 is disabled - applying Global eap timers and retries *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 dot1x - moving mobile 24:77:03:19:fb:70 into Force Auth state *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 EAPOL Header: *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: : f..._ *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Found an cache entry for BSSID 08:cc:68:67:1f:fb in PMKID cache at index 0 of station 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Found an cache entry for BSSID 08:cc:68:67:1f:fb in PMKID cache at index 0 of station 24:77:03:19:fb:70

7 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: Including PMKID in M1 (16) *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: [0000] d7 57 8e ff 2b e b 1c 1f 46 d2 da *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Starting key exchange to mobile 24:77:03:19:fb:70, data packets will be dropped *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Sending EAPOL-Key Message to mobile 24:77:03:19:fb:70 state INITPMK (message 1), replay counter *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Sending EAPOL-Key Message to mobile 24:77:03:19:fb:70 state INITPMK (message 1), replay counter *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 Allocating EAP Pkt for retransmission to mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 mscb->apfmslwapplradnhmac = b0:fa:eb:b8:f5:12 mscb->apfmslradslotid = 1 mscb->apfmslradjumbo = 0 mscb->apfmsintifnum = 1 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 mscb->apfmsbssid = 08:cc:68:67:1f:f0 mscb->apfmsaddress = 24:77:03:19:fb:70 mscb->apfmsapvapid = 5 *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 dot1xcb->snaporg = dot1xcb->eapolwepbit = 0 mscb->apfmslwapplradvlanid = 0 mscb->apfmslwappmwarinet.ipv4.addr = *Dot1x_NW_MsgTask_0: May 07 17:03:56.066: 24:77:03:19:fb:70 mscb->apfmslwappmwarport = 5246 mscb->apfmslwapplradinet.ipv4.addr = mscb->apfmslwapplradport = *Dot1x_NW_MsgTask_0: May 07 17:03:56.069: 24:77:03:19:fb:70 Received EAPOL-Key from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.069: 24:77:03:19:fb:70 Ignoring invalid EAPOL version (1) in EAPOL-key message from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.069: 24:77:03:19:fb:70 Received EAPOL-key in PTK_START state (message 2) from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.069: 24:77:03:19:fb:70 Received EAPOL-key M2 with invalid MIC from mobile 24:77:03:19:fb:70 version 2 *osapibsntimer: May 07 17:03:56.364: 24:77:03:19:fb: x 'timeoutevt' Timer expired for station 24:77:03:19:fb:70 and for message = M2!--- MIC error due to wrong preshared key *dot1xmsgtask: May 07 17:03:56.364: 24:77:03:19:fb:70 Retransmit 1 of EAPOL-Key M1 (length 121) for mobile 24:77:03:19:fb:70 *dot1xmsgtask: May 07 17:03:56.364: 24:77:03:19:fb:70 mscb->apfmslwapplradnhmac = b0:fa:eb:b8:f5:12 mscb->apfmslradslotid = 1 mscb->apfmslradjumbo = 0 mscb->apfmsintifnum = 1 *dot1xmsgtask: May 07 17:03:56.364: 24:77:03:19:fb:70 mscb->apfmsbssid = 08:cc:68:67:1f:f0 mscb->apfmsaddress = 24:77:03:19:fb:70 mscb->apfmsapvapid = 5 *dot1xmsgtask: May 07 17:03:56.365: 24:77:03:19:fb:70 dot1xcb->snaporg = dot1xcb- >eapolwepbit = 0 mscb->apfmslwapplradvlanid = 0 mscb->apfmslwappmwarinet.ipv4.addr =

8 *dot1xmsgtask: May 07 17:03:56.365: 24:77:03:19:fb:70 mscb->apfmslwappmwarport = 5246 mscb- >apfmslwapplradinet.ipv4.addr = mscb->apfmslwapplradport = *Dot1x_NW_MsgTask_0: May 07 17:03:56.366: 24:77:03:19:fb:70 Received EAPOL-Key from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.366: 24:77:03:19:fb:70 Ignoring invalid EAPOL version (1) in EAPOL-key message from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.366: 24:77:03:19:fb:70 Received EAPOL-key in PTK_START state (message 2) from mobile 24:77:03:19:fb:70 *Dot1x_NW_MsgTask_0: May 07 17:03:56.366: 24:77:03:19:fb:70 Received EAPOL-key M2 with invalid MIC from mobile 24:77:03:19:fb:70 version 2 *osapibsntimer: May 07 17:03:56.764: 24:77:03:19:fb: x 'timeoutevt' Timer expired for station 24:77:03:19:fb:70 and for message = M2!--- MIC error due to wrong preshared key Conclusão tirada Embora o timeoutevt para a chave M2 poderia igualmente ser devido aos erros driver/nic, um da maioria de problema comum é o usuário que incorpora credenciais incorretas para cahracters da senha PSK (diferenciando maiúsculas e minúsculas faltado/especial etc ) e incapaz de conectar. Cenário 2: O telefone sem fio Handsets(792x/9971) não associa com das a área de serviço sem fio folhas Referência: Topologia WLAN com Telefones IP do Cisco Unified Wireless Detalhes do problema AIR-CT K9 //promoveu o firmware para telefones e o controlador sem fio não aceita registros do telefone Debuga e logs apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Association received from mobile on AP 3x:xx:cx:9x:x0:x0 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx START (0) Changing IPv4 ACL 'none' (ACL ID xxx) ===> 'none' (ACL ID xxx) --- (caller apf_policy.c:1x09) *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx START (0) Changing IPv6 ACL 'none' (ACL ID xxx5) ===> 'none' (ACL ID xxx) --- (caller apf_policy.c:18x6) *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Applying site-specific Local Bridging override for station 1x:xx:1x:xx:xx:xx - vapid 1, site 'default-group', interface 'xwirex' *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Applying Local Bridging Interface Policy

9 for station 1x:xx:1x:xx:xx:xx - vlan 510, interface id 12, interface 'xwirex' *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx processssidie statuscode is 0 and status is 0 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx processssidie ssid_done_flag is 0 finish_flag is 0 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx STA - rates (4): *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx supprates statuscode is 0 and gotsupprateselement is 1 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx STA - rates (12): *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx extsupprates statuscode is 0 and gotextsupprateselement is 1 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Processing RSN IE type 48, length 22 for mobile 1x:xx:1x:xx:xx:xx *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx CCKM: Mobile is using CCKM *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Received RSN IE with 0 PMKIDs from mobile 1x:xx:1x:xx:xx:xx *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Setting active key cache index 8 ---> 8 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx unsetting PmkIdValidatedByAp *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Sending Assoc Response to station on BSSID 3x:xx:cx:9x:x0:x0 (status 201) ApVapId 1 Slot 0 *apfmsconntask_1: xx xx xx:50:xx.xxx: 1x:xx:1x:xx:xx:xx Scheduling deletion of Mobile Station: (callerid: 22) in 3 seconds VoIP Call Failure: '1x:xx:1x:xx:xx:xx' client, detected by 'xx-xx-xx' AP on radio type '802.11b/g'. Reason: 'Call failed: TSPEC QOS Policy does not match'. Means platinum QoS was not configured on WLAN 1x:xx PM Client Excluded: MACAddress:1x:xx:1x:xx:xx:xx Base Radio MAC :3x:xx:cx:9x:x0:x0 Slot: 1 User Name: dwpv\mtl7925 Ip Address: xx.xx.x.xx Reason: Association failed repeatedly. ReasonCode: 2 Conclusão Debugar no WLC mostra que o 7925G falha a associação como o APreturns um código de status da associação de 201. Isto é devido a um pedido TSPEC (especificação do tráfego) do monofone que é recusado devido à configuração WLAN. As tentativas WLAN 7925G de conectar são configuradas com um perfil de QoS da prata (ACIMA de 0,3), um pouco do que a platina (ACIMA de 6,7) como necessário. Isto conduz a uma má combinação TSPEC para a troca do quadro do tráfego de voz/ação do monofone através do WLAN, e finalmente a uma rejeção do AP. Crie um WLAN novo com um perfil de QoS da platina especificamente para os monofones 7925G e configurada conforme melhores prática estabelecidos, e como definido no guia de distribuição 7925G: 25dply.pdf

10 Uma vez que configurada, a edição é resolved. Cenário 3: Cliente configurado para o WPA mas o AP configurados somente para o WPA2 Debugar o addr> do <mac do cliente Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 23) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx apfprocessprobereq (apf_80211.c:4057) Changing state for mobile xx.xx.xx.xx.xx.xx on AP from Idle to Probe Controller adds the new client, moving into probing status Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds AP is reporting probe activity every 500 ms as configured Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Scheduling deletion of Mobile Station: (callerid: 24) in 5 seconds Wed May 7 10:51: : xx.xx.xx.xx.xx.xx apfmsexpirecallback (apf_ms.c:433) Expiring Mobile! Wed May 7 10:51: : xx.xx.xx.xx.xx.xx START (0) Deleted mobile LWAPP rule on AP [] Wed May 7 10:51: : xx.xx.xx.xx.xx.xx Deleting mobile on AP (0) After 5 seconds of inactivity, client is deleted, never moved into authentication or association phases. Encenação 4: Analise gramaticalmente códigos do retorno ou da resposta AAA. Exigido debuga PARA SER EXECUTADO para recolher os logs previstos: (<mac> do ADDR do Mac do >debug do controlador de Cisco) (Os eventos aaa do >debug do controlador de Cisco) permitem (OU) (<mac> do cliente do >debug do controlador de Cisco) (Os eventos aaa do >debug do controlador de Cisco) permitem (Os erros aaa do >debug do controlador de Cisco) permitem A falha de conectividade AAA gerencie uma armadilha de SNMP, se as armadilhas são permitidas. <snipped> do resultado do debug do exemplo

11 *radiustransportthread: Mar 26 17:54:58.054: 70:f1:a1:69:7b:e7 Invalid RADIUS message authenticator for mobile 70:f1:a1:69:7b:e7 *radiustransportthread: Mar 26 17:54:58.054: 70:f1:a1:69:7b:e7 RADIUS message verification failed from server with id=213. Possible secret mismatch for mobile 70:f1:a1:69:7b:e7 *radiustransportthread: Mar 26 17:54:58.054: 70:f1:a1:69:7b:e7 Returning AAA Error 'Authentication Failed' (-4) for mobile 70:f1:a1:69:7b:e7 *radiustransportthread: Mar 26 17:54:58.054: AuthorizationResponse: 0x4259f944 Returning AAA Error 'Success' (0) for mobile Successful Authentication happened, AAA returns access-accept prior to Success (0) to confirm the same. Returning AAA Error 'Out of Memory' (-2) for mobile it's the rare reason. CSCud12582 Processing AAA Error 'Out of Memory' Returning AAA Error 'Authentication Failed' (-4) for mobile its the most common reason seen Razões possíveis: 1. Conta de usuário e/ou senha inválidas 2. Computador não um membro do domínio, edição no lado AD. 3. Serviços certificados que não trabalham corretamente 4. O certificado de servidor expirou ou não no uso 5. RAIO configurado incorretamente 6. Alcance a chave incorporada incorretamente - É diferenciando maiúsculas e minúsculas (assim que é o SSID) 7. patch do microsoft da atualização. 8. Temporizadores EAP. 9. Método incorreto do eap configurado no cliente/server. 10. O certificado de cliente é expirado ou não no uso. Retorne o erro intervalo AAA (-5) para o móbil Servidor AAA inacessível, seguido pelo deauth do cliente. Exemplo: Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Retorne o erro erro interno AAA (-6) para o móbil Atribua a má combinação. O AAA envia atributo incorreto/impróprio (comprimento errado) que não está compreendido/compatível com WLC. WLC envia a mensagem de Deauth seguida pela mensagem do erro interno. Ex: CSCum83894 AAA erro interno e atributos da falha w/unknown do AUTH no acesso aceitam.

12 Exemplo: Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Erro de retorno AAA nenhum server (-7) para o móbil O raio não é configurado corretamente e ou configuração não suportada no uso. Exemplo: Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Encenação 5: O cliente não associa ao AP Debugar foi executado debugar o addr> do <mac do cliente Logs a analisar gramaticalmente Enviando a resposta de Assoc para postar no slot 0 BSSID 00:26:cb:94:44:c0 (estado 0) ApVapId 1 Slot 0 = B/G(2.4) rádio Slot1 = A(5) rádio Enviando o estado 0 da resposta de Assoc = sucesso Qualquer coisa a não ser o estado 0 falha Os códigos de status da resposta da associação comum podem ser encontrados em Encenação 6: Desassociação do cliente devido ao idle timeout

13 Debugar foi executado debugar o addr> do <mac do cliente Logs a analisar gramaticalmente Quietude-intervalo recebido de AP 00:26:cb:94:44:c0, slot 0 para STA 00:1e:8c:0f:a4:57 móbil de programa do apfmsdeletebymscb para o supressão com deletereason 4, reasoncode 4 Supressão de programa da estação móvel: (callerid: 30) nos segundos 1 móbil de expiração do apfmsexpirecallback (apf_ms.c:608)! Deauthenticate enviado ao móbil no entalhe 0(caller apf_ms.c:5094 BSSID 00:26:cb:94:44:c0) Condições Ocorre após nenhum tráfego recebido do cliente A duração do padrão é 300 segundos Solução Aumente o formulário WLC GUI>>Controller>>General do idle timeout ou globalmente ou por wlan de WLC GUI>>WLAN>>ID>>Advanced Encenação 7: Desassociação do cliente devido ao timeout de sessão Debugar foi executado debugar o addr> do <mac do cliente Logs a analisar gramaticalmente Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Condições Ocorre na duração programada (padrão 1800 segundos) Força o usuário WEBAUTH a WEBAUTH outra vez.

14 Solução Aumente ou desabilite o timeout de sessão por wlan de WLC GUI>>WLAN>>ID>>Advanced Encenação 8: Desassociação do cliente devido às mudanças WLAN Debugar foi executado debugar o addr> do <mac do cliente Log a analisar gramaticalmente Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Condições Para alterar de qualquer maneira um WLAN nas inutilizações e nos renables WLAN Solução Este é um comportamento esperado. Quando há umas mudanças wlan feitas, os clientes dissociam-se e reassociam-se. Encenação 9: Desassociação do cliente devido ao supressão manual de WLC Debugar foi executado debugar o addr> do <mac do cliente Log a analisar gramaticalmente Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID

15 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Condições Do GUI: Remova o cliente Do CLI: deauthenticate < MAC address > do cliente da configuração Encenação 10: Desassociação do cliente devido ao intervalo da autenticação Debugar foi executado debugar o addr> do <mac do cliente Log a analisar gramaticalmente Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Condições MAX-retransmissões da autenticação ou das trocas de chave alcançadas Solução Verifique/driver de cliente da atualização, a configuração da Segurança, os Certificados etc. Encenação 11: Desassociação do cliente devido ao rádio AP restaurado (potência/canal) Debugar foi executado debugar o addr> do <mac do cliente Log a analisar gramaticalmente Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile

16 Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Condições O AP dissocia clientes mas WLC não suprime da entrada. Solução Comportamento esperado. Encenação 12: Problemas de cliente de Symantec com 802.1X timeoutevt Edição Os clientes que executa o software de Symantec dissociam-se com o temporizador do timeoutevt do 802.1X da mensagem expiraram para a estação e para a mensagem = o M3 Os idoes não g do processo EAP/Eapol terminados, independentemente do rádio A/G são usados no intel/cartão de Broadcom. nenhuma edição quando for wep usado, WPA-PSK. Condição O código WLC não importa. APs - todo o modelo - tudo no modo local. 3 wlan - WPA X PEAP + mshcapv2 o ssid é transmitido. Nps 2008 do servidor Radius O antivírus de Symantec é instalado em todos os PCes usando Asus, Braodcom, Intel - win7, vitória-xp Ósmio afetado - indicadores 7 e xp Adaptador Wireless afetado - Intel(6205) e Broadcom Direcionador/suplicante afetados , usando o suplicante nativo. Reparo/Workaround: Desabilite a proteção e o Firewall da rede de Symantec em win7 e em xp. É uma edição de Symantec com vitória 7 e ósmio XP. Resultado do debug Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile

17 Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Nota: Há uma síndrome em 15.2 (igualmente visto nas versões anterior) que vai como: - o cliente obtém M1 do AP - o cliente envia o M2 - o cliente obtém o M3 do AP - o cliente sonda por pares a chave nova antes que mande M4 - o cliente transmite o M4 cifrado com a chave nova AP, deixa cair a mensagem M4 como do um erro decrypt - Mostra do cliente WLC debugar que nós estamos cronometrando para fora nas retransmissões M3. Evidentemente, este é um problema entre Microsoft e Symantec, não específico de Intel. O Workaround é remover Symantec. Este é realmente um erro que esteja provavelmente nos indicadores, provocado por Symantec. Tweaking o temporizador EAP não fixa esta edição Em relação a esta edição, o tac Cisco enviará os clientes afetados a Symantec e a Microsoft. Encenação 13: O serviço da cópia do ar não aparece para clientes com mdns que a espião girou sobre Cliente não capaz de ver dispositivos que proporciona o serviço de AirPrint em dispositivos do cliente handheld de Apple quando a espião do mdns for girada sobre. Condições 5508 WLC que executam Com a espião do mdns girada sobre, nós temos os dispositivos que proporciona os serviços de AirPrint alistados sob a seção dos serviços no WLC. O perfil respectivo do mdns foi traçado corretamente ao WLAN & à relação. Capaz ainda incapaz de ver os dispositivos de AirPrint no cliente. Debugar foi executado debugar o addr> do <mac do cliente debugar mdns que todos permitem Wed Oct 26 20:08: : Max retransmission of Access-Request (id 100) to reached for mobile Wed Oct 26 20:08: : [Error] Client requested no retries for mobile

18 00:13:CE:1A:92:41 Wed Oct 26 20:08: : Returning AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Processing AAA Error 'Timeout' (-5) for mobile Wed Oct 26 20:08: : Sent Deauthenticate to mobile on BSSID 00:0b:85:76:d3:e0 slot 1(caller 1x_auth_pae.c:1033) Wed Oct 26 20:08: : Scheduling deletion of Mobile Station: (callerid: 65) in 10 seconds Explicação O cliente pediria para. os _ipps _universal. _tcp.local do _sub. ou. _ipp _universal. _tcp.local do _sub. em vez do _ipp. _tcp.local. ou _ipp. _tcp.local. corda. Assim o serviço adicionado de AirPrint não trabalharia. Foi identificado a corda pedida do serviço a ser traçada a 'HP_Photosmart_Printer_1 O mesmo serviço foi adicionado no perfil traçado ao WLAN e ainda não havia nenhum serviço alistado para o dispositivo. Encontrou-se que devido ao Domain Name que estão sendo adicionados e ao cliente que pergunta para dns-sd. _udp.yvg.local. com o Domain Name adicionado o WLC não podia processar o pacote de Bonjour como dns-sd. _udp.yvg.local. não existe no base de dados. Identificou o erro dado do realce no que diz respeito ao mesmos - CSCuj32157 Solução O único trabalho era ao redor desabilitar a opção de DHCP 15 (Domain Name) ou remover o Domain Name do cliente. Encenação 14: O cliente de Apple IO incapaz de juntar-se à rede devida desabilitou a mudança rápida SSID Condição A maioria de dispositivos ios de Apple têm as edições a mover-se de um WLAN para outro em mesmo Cisco WLC com o padrão mudança rápida do ssid desabilitada. O ajuste causa ao controlador ao deauthenticate o cliente do WLAN que existe uma vez as tentativas do cliente de associar a outras. O resultado típico é incapaz de juntar-se uma mensagem à rede no dispositivo ios Mostre o cliente sumário da rede do >show (jk ) <snip> A mudança rápida SSID... desabilitou Debugar foi executado

19 (jk ) >debug client 1c:e6:2b:cd:da:9d (jk ) >*apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Association received from mobile on BSSID 00:21:a0:e3:fd:be Apple Client initiating switch from one wlan to another. *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Global 200 Clients are allowed to AP radio *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Max Client Trap Threshold: 0 cur: 1 *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Rf profile 600 Clients are allowed to AP wlan *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Deleting client immediately since WLAN has changed //WLC removing apple client from original WLAN *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Scheduling deletion of Mobile Station: (callerid: 50) in 1 seconds *osapibsntimer: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpirecallback (apf_ms.c:625) Expiring Mobile! *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6632) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Associated to Disassociated *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Sent Deauthenticate to mobile on BSSID 00:21:a0:e3:fd:b0 slot 1(caller apf_ms.c:6726) *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Found an cache entry for BSSID 00:21:a0:e3:fd:bf in PMKID cache at index 0 of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Removing BSSID 00:21:a0:e3:fd:bf from PMKID cache of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Resetting MSCB PMK Cache Entry 0 for station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Setting active key cache index 0 ---> 8 *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Deleting the PMK cache when deauthenticating the client. *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Global PMK Cache deletion failed. *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsassostatedec *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6764) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Disassociated to Idle *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d pemapfdeletemobilestation2: APF_MS_PEM_WAIT_L2_AUTH_COMPLETE = 0. *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d START (0) Deleted mobile LWAPP rule on AP [00:21:a0:e3:fd:b0] *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d Deleting mobile on AP 00:21:a0:e3:fd:b0(1) *pemreceivetask: Jan 30 21:33:15.377: 1c:e6:2b:cd:da:9d Removed NPU entry. *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Adding mobile on LWAPP AP 00:21:a0:e3:fd:b0(1)

20 No client activity for > 7 sec due to fast-ssid change disabled *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Association received from mobile on BSSID 00:21:a0:e3:fd:bf *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Global 200 Clients are allowed to AP radio <Snip> *apfmsconntask_7: Jan 30 21:33:23.891: 1c:e6:2b:cd:da:9d Sending Assoc Response to station on BSSID 00:21:a0:e3:fd:bf (status 0) ApVapId 1 Slot 1 *apfmsconntask_7: Jan 30 21:33:23.892: 1c:e6:2b:cd:da:9d apfprocessassocreq (apf_80211.c:8292) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Associated to Associated Solução Permita a mudança rápido-ssid de WLC GUI>>Controller>>General Encenação 15: Associação bem sucedida do cliente LDAP Ajudas seguras LDAP para fixar a conexão entre o controlador e o servidor ldap que usa o TLS. Esta característica é apoiada com versão de software 7.6 do controlador e acima. Há dois tipos de perguntas que podem ser enviadas pelo controlador ao servidor ldap: 1. Anônimo: Neste tipo o controlador envia um pedido de autenticação ao servidor ldap quando um cliente precisa de obter authenticatied. O servidor ldap responde com o o resultado da pergunta. Durante esta troca toda a informação que inclui o username do cliente/senha está sendo enviada no texto claro. O servidor ldap responderá a uma pergunta de qualquer um enquanto o username do ligamento/senha é adicionado. 2. Autenticado: Neste método o controlador é configurado com um nome de usuário e senha que se use para autenticar próprio com o servidor ldap. A senha é cifrada com MD5 SASL e enviada ao servidor ldap durante o processo de autenticação. Isto ajuda o servidor ldap corretamente a identificar a fonte dos pedidos de autenticação. Contudo mesmo que a identidade do controlador seja protegida os detalhes do cliente são enviados no texto claro. A necessidade real para o LDAP sobre o TLS veio devido à vulnerabilidade de segurança levantada por ambos estes dois métodos onde os dados da authenticação do cliente e o resto da transação estão acontecendo na claro. Requisitos Versão de software running 7.6 WLC e acima Server de Microsoft que faz o LDAP Debugar foi executado debugar o ldap aaa permitem (jk ) >debug client 1c:e6:2b:cd:da:9d

21 (jk ) >*apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Association received from mobile on BSSID 00:21:a0:e3:fd:be Apple Client initiating switch from one wlan to another. *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Global 200 Clients are allowed to AP radio *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Max Client Trap Threshold: 0 cur: 1 *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Rf profile 600 Clients are allowed to AP wlan *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Deleting client immediately since WLAN has changed //WLC removing apple client from original WLAN *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Scheduling deletion of Mobile Station: (callerid: 50) in 1 seconds *osapibsntimer: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpirecallback (apf_ms.c:625) Expiring Mobile! *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6632) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Associated to Disassociated *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Sent Deauthenticate to mobile on BSSID 00:21:a0:e3:fd:b0 slot 1(caller apf_ms.c:6726) *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Found an cache entry for BSSID 00:21:a0:e3:fd:bf in PMKID cache at index 0 of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Removing BSSID 00:21:a0:e3:fd:bf from PMKID cache of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Resetting MSCB PMK Cache Entry 0 for station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Setting active key cache index 0 ---> 8 *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Deleting the PMK cache when deauthenticating the client. *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Global PMK Cache deletion failed. *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsassostatedec *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6764) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Disassociated to Idle *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d pemapfdeletemobilestation2: APF_MS_PEM_WAIT_L2_AUTH_COMPLETE = 0. *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d START (0) Deleted mobile LWAPP rule on AP [00:21:a0:e3:fd:b0] *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d Deleting mobile on AP 00:21:a0:e3:fd:b0(1) *pemreceivetask: Jan 30 21:33:15.377: 1c:e6:2b:cd:da:9d Removed NPU entry. *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Adding mobile on LWAPP AP 00:21:a0:e3:fd:b0(1) No client activity for > 7 sec due to fast-ssid change disabled *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Association received from mobile on BSSID 00:21:a0:e3:fd:bf *apfmsconntask_7: Jan 30 21:33:23.890: 1c:e6:2b:cd:da:9d Global 200 Clients are allowed to AP radio <Snip> *apfmsconntask_7: Jan 30 21:33:23.891: 1c:e6:2b:cd:da:9d Sending Assoc Response to

22 station on BSSID 00:21:a0:e3:fd:bf (status 0) ApVapId 1 Slot 1 *apfmsconntask_7: Jan 30 21:33:23.892: 1c:e6:2b:cd:da:9d apfprocessassocreq (apf_80211.c:8292) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Associated to Associated Encenação 16: Authenticação do cliente falhada no LDAP Debugar a corrida debugar o ldap aaa permitem (jk ) >debug client 1c:e6:2b:cd:da:9d (jk ) >*apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Association received from mobile on BSSID 00:21:a0:e3:fd:be Apple Client initiating switch from one wlan to another. *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Global 200 Clients are allowed to AP radio *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Max Client Trap Threshold: 0 cur: 1 *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Rf profile 600 Clients are allowed to AP wlan *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Deleting client immediately since WLAN has changed //WLC removing apple client from original WLAN *apfmsconntask_7: Jan 30 21:33:14.544: 1c:e6:2b:cd:da:9d Scheduling deletion of Mobile Station: (callerid: 50) in 1 seconds *osapibsntimer: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpirecallback (apf_ms.c:625) Expiring Mobile! *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6632) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Associated to Disassociated *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Sent Deauthenticate to mobile on BSSID 00:21:a0:e3:fd:b0 slot 1(caller apf_ms.c:6726) *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Found an cache entry for BSSID 00:21:a0:e3:fd:bf in PMKID cache at index 0 of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Removing BSSID 00:21:a0:e3:fd:bf from PMKID cache of station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Resetting MSCB PMK Cache Entry 0 for station 1c:e6:2b:cd:da:9d *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Setting active key cache index 0 ---> 8 *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Deleting the PMK cache when deauthenticating the client. *apfreceivetask: Jan 30 21:33:15.375: 1c:e6:2b:cd:da:9d Global PMK Cache deletion failed. *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsassostatedec *apfreceivetask: Jan 30 21:33:15.376: 1c:e6:2b:cd:da:9d apfmsexpiremobilestation (apf_ms.c:6764) Changing state for mobile 1c:e6:2b:cd:da:9d on AP 00:21:a0:e3:fd:b0 from Disassociated to Idle