简单的记录一下上周做的一个任务。


豆子需要给公司搭建一个SONOS 的WIFI HIFI系统,这玩意最开始是给家庭网络设计的,如果直接连接在2层交换机上一切简单OK,如果是连接在3层交换机上则需要改动不少东西。由于设计上的缺失,SONS本身没有任何访问控制的功能,因此任何同一个子网的计算机或者手机都能直接控制。豆子不希望整个公司的人都能随意的切换自己喜爱的歌曲,因此必须给这个音乐播放器搭建一个新的VLAN,并限制访问。


需求:创建一个新的SSID和VLAN,只有授权的用户可以从无线网登录管理SONOS的音响设备

无线环境:思科WLC+ISE+AP, Windows 2012 DHCP服务器,思科6900核心交换机 

用户登录过程:客户端连接上AP,VLAN转发DHCP请求获取IP,域用户名字登入新的SSID MusicNet, WLC转发验证到指定的AAA服务器,这里我用的是Cisco ISE server,ISE根据authentication的条件判断身份是否合法,然后根据authorization的条件分配对应的ACL访问权限。最后用户成功登入SSID,使用SONOS Controller连接入无线HIFI系统。



基本步骤:

  1. 创建新的VLAN,配置IP-helper转发DHCP请求;

  2. 在DHCP上创建对应的新的scope;

  3. 把新建的VLAN加入WLC和AP的trunk端口;

  4. 在WLC上创建新的interface和WLAN;

  5. 在ISE上配置新的condition,ACL permission和authorization rule;

  6. 配置连接SONOS Boost设备的端口;

  7. 测试


下面是具体的操作截图。


创建新的VLAN 108,转发DHCP

wKiom1ZEKZryHRXTAAATQ11fCAQ806.png


配置新的Scope

wKioL1ZEKeWzkpGBAACCSaPAEEE032.png


配置WLC和交换机之间的Port Group

wKioL1ZEKebRUzTSAAAd_mfxHuQ803.png


配置AP和交换机之间的端口

wKiom1ZEKZ2wdm-uAAAjjqvR_Do688.png


WLC上配置interface

wKioL1ZEKejilFC2AADyoDb24Rw284.png


WLC上配置新的SSID,绑定端口

wKiom1ZEKaCR1em6AABwwECZWPc787.png


新的WLAN对应的验证服务器,这里指向ISE服务器

wKiom1ZEKaKAemhvAACdQiEKqxs019.png


勾选FlexConnect Local Switching

wKioL1ZEKe6SpJqjAADBQu1DtgM495.png


把对应的WLAN加入FlexConnect Group

wKioL1ZEKe-TsKYvAAB9_2dmT2g282.png


ISE服务器里面添加新的条件(Conditions)

wKiom1ZEKabCY8xSAACO8FQfNtY951.png


添加新的Permission Profile

wKioL1ZEKfGTGTXJAABUkdeetB0825.png

然后ISE里面绑定一个AD的安全组,只有这个组里的人才能访问我新建的VLAN

wKioL1ZEKfOzCZX3AAFmskbwYxg592.png

wKiom1ZEKamwHL0xAAAnOUIKKEs785.png


最后配置一个新的authorization policy

wKioL1ZEKfXz_o2aAADIU9IW_Cs612.png


别忘记了连接Boost的端口需要忽略掉STP

wKiom1ZEKazieqLLAAAdGa9PzUE933.png


Okay,大功告成,现在用户可以成功的登录新建的SSID,并访问我的SONOS系统了。