Quelltext der Seite Cisco Catalyst 9200: 802.1X mit IBNS 2.0

{{Steckbrief
| gilt_fuer   = Cisco Catalyst 9200/9200L/9200CX mit IOS XE 17.15/17.18; RADIUS-Server z. B. FreeRADIUS, Windows NPS oder Cisco ISE
| bereich     = IT-Security
| dauer       = ca. 1–2 Stunden für den Pilot
| rechte      = Privileged EXEC (enable), Administrator am RADIUS-Server
| stand       = Oktober 2026
}}
'''802.1X mit IBNS 2.0 auf dem Cisco Catalyst 9200''' beschreibt die Netzwerkzugangskontrolle nicht mehr mit vielen einzelnen <code>authentication</code>-Befehlen am Port, sondern mit einer '''Richtlinie''': Eine ''policy-map'' legt fest, was bei Ereignissen wie „Sitzung beginnt“, „Anmeldung fehlgeschlagen“ oder „RADIUS-Server nicht erreichbar“ passiert. Die Ports verweisen nur noch auf diese Richtlinie. Das ist übersichtlicher, lässt sich zentral ändern und ist die von Cisco empfohlene Syntax für IOS XE. Die Grundlagen von 802.1X, MAB und den Einführungsphasen erklärt der Artikel [[Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren]].

[[Datei:Cisco-9200-8021X-IBNS2.png|thumb|center|750px|802.1X mit IBNS 2.0 auf dem Catalyst 9200: Die policy-map startet 802.1X, wechselt bei Fehlschlag oder fehlender Antwort zu MAB, schaltet bei ausgefallenem RADIUS-Server per service-template in Critical-VLAN und Voice-VLAN und wird am Port mit service-policy type control subscriber angewendet.]]

== IBNS 2.0: die Bausteine ==
{| class="wikitable"
! Baustein !! Aufgabe
|-
| <code>class-map type control subscriber</code> || Bedingung, z. B. „802.1X fehlgeschlagen“ oder „RADIUS nicht erreichbar“
|-
| <code>service-template</code> || Bündel von Aktionen, z. B. „in VLAN 10 schalten“
|-
| <code>policy-map type control subscriber</code> || Ablauf: je Ereignis (''event'') welche Klasse welche Aktionen auslöst
|-
| <code>access-session …</code> || Port-Einstellungen: Host-Modus, Port-Control, offen oder geschlossen
|-
| <code>service-policy type control subscriber</code> || bindet die Richtlinie an den Port
|}

== Neu einrichten oder umstellen? ==
* '''Neuer Switch:''' direkt mit IBNS 2.0 beginnen (diese Anleitung).
* '''Migrierte Konfiguration mit <code>authentication</code>-Befehlen:''' IOS XE versteht die alte Syntax. Die automatische Umwandlung erledigt <code>authentication convert-to new-style</code> – sie ist praktisch nicht umkehrbar. Vorher die Konfiguration sichern und die Umwandlung zuerst auf einem Test-Switch ausprobieren.
* Alte und neue Syntax nicht mischen: Nach der Umstellung werden <code>authentication</code>-Befehle am Port nicht mehr ausgewertet.

== Schritt 1: AAA und RADIUS ==
<syntaxhighlight lang="text">
SW-OG-01# configure terminal
SW-OG-01(config)# aaa new-model
SW-OG-01(config)# aaa authentication login default local
SW-OG-01(config)# aaa authorization exec default local
SW-OG-01(config)# radius server RADIUS-1
SW-OG-01(config-radius-server)# address ipv4 192.168.99.30 auth-port 1812 acct-port 1813
SW-OG-01(config-radius-server)# key <RADIUS-Schlüssel>
SW-OG-01(config-radius-server)# exit
SW-OG-01(config)# aaa group server radius RADIUS-GRUPPE
SW-OG-01(config-sg-radius)# server name RADIUS-1
SW-OG-01(config-sg-radius)# exit
SW-OG-01(config)# aaa authentication dot1x default group RADIUS-GRUPPE
SW-OG-01(config)# aaa authorization network default group RADIUS-GRUPPE
SW-OG-01(config)# aaa accounting identity default start-stop group RADIUS-GRUPPE
SW-OG-01(config)# radius-server dead-criteria time 5 tries 3
SW-OG-01(config)# radius-server deadtime 5
SW-OG-01(config)# radius-server vsa send authentication
SW-OG-01(config)# ip radius source-interface vlan 99
SW-OG-01(config)# dot1x system-auth-control
</syntaxhighlight>
* IOS XE nutzt die Blockform <code>radius server</code>; ein zweiter Server wird als weiterer Block angelegt und der Gruppe hinzugefügt.
* <code>aaa accounting identity</code> ersetzt unter IBNS 2.0 das bisherige <code>aaa accounting dot1x</code>.
* Die ersten drei <code>aaa</code>-Zeilen sichern die lokale Anmeldung am Switch ab.

{{Warnung|<code>aaa new-model</code> ändert sofort die Anmeldung an Konsole und SSH. Vorher einen lokalen Benutzer mit Privilege 15 anlegen und die Anmeldung in einer zweiten Sitzung testen.}}

== Schritt 2: Service-Templates für den RADIUS-Ausfall ==
<syntaxhighlight lang="text">
SW-OG-01(config)# service-template CRITICAL-DATEN
SW-OG-01(config-service-template)# vlan 10
SW-OG-01(config-service-template)# exit
SW-OG-01(config)# service-template CRITICAL-VOICE
SW-OG-01(config-service-template)# voice vlan
SW-OG-01(config-service-template)# exit
</syntaxhighlight>

== Schritt 3: Bedingungen (class-maps) ==
<syntaxhighlight lang="text">
class-map type control subscriber match-all DOT1X-FEHLGESCHLAGEN
 match method dot1x
 match result-type method dot1x authoritative
class-map type control subscriber match-all DOT1X-KEINE-ANTWORT
 match method dot1x
 match result-type method dot1x agent-not-found
class-map type control subscriber match-all MAB-FEHLGESCHLAGEN
 match method mab
 match result-type method mab authoritative
class-map type control subscriber match-all RADIUS-AUS-NICHT-ANGEMELDET
 match result-type aaa-timeout
 match authorization-status unauthorized
class-map type control subscriber match-all RADIUS-AUS-ANGEMELDET
 match result-type aaa-timeout
 match authorization-status authorized
</syntaxhighlight>

== Schritt 4: Die Richtlinie (policy-map) ==
<syntaxhighlight lang="text">
policy-map type control subscriber DOT1X-MAB
 event session-started match-all
  10 class always do-until-failure
   10 authenticate using dot1x priority 10
 event authentication-failure match-first
  5 class DOT1X-FEHLGESCHLAGEN do-until-failure
   10 terminate dot1x
   20 authenticate using mab priority 20
  10 class RADIUS-AUS-NICHT-ANGEMELDET do-until-failure
   10 activate service-template CRITICAL-DATEN
   20 activate service-template CRITICAL-VOICE
   30 authorize
   40 pause reauthentication
  20 class RADIUS-AUS-ANGEMELDET do-until-failure
   10 pause reauthentication
   20 authorize
  30 class DOT1X-KEINE-ANTWORT do-until-failure
   10 terminate dot1x
   20 authenticate using mab priority 20
  40 class MAB-FEHLGESCHLAGEN do-until-failure
   10 terminate mab
   20 authentication-restart 60
  50 class always do-until-failure
   10 terminate dot1x
   20 terminate mab
   30 authentication-restart 60
 event aaa-available match-all
  10 class RADIUS-AUS-NICHT-ANGEMELDET do-until-failure
   10 clear-session
  20 class RADIUS-AUS-ANGEMELDET do-until-failure
   10 resume reauthentication
 event agent-found match-all
  10 class always do-until-failure
   10 terminate mab
   20 authenticate using dot1x priority 10
</syntaxhighlight>
So liest sich der Ablauf:
{| class="wikitable"
! Ereignis !! Reaktion
|-
| Sitzung beginnt || 802.1X versuchen
|-
| 802.1X fehlgeschlagen oder Gerät antwortet nicht || auf MAB wechseln (Drucker, Telefone ohne 802.1X)
|-
| RADIUS nicht erreichbar || Critical-VLAN und Voice-VLAN freigeben, später erneut prüfen
|-
| MAB fehlgeschlagen || nach 60 Sekunden neu beginnen
|-
| RADIUS wieder erreichbar || Notfall-Sitzungen neu anmelden lassen
|-
| 802.1X-Client meldet sich später doch || von MAB auf 802.1X wechseln
|}

== Schritt 5: Ports konfigurieren ==
<syntaxhighlight lang="text">
SW-OG-01(config)# interface range gi1/0/1 - 40
SW-OG-01(config-if-range)# switchport mode access
SW-OG-01(config-if-range)# switchport access vlan 10
SW-OG-01(config-if-range)# switchport voice vlan 40
SW-OG-01(config-if-range)# access-session host-mode multi-domain
SW-OG-01(config-if-range)# access-session port-control auto
SW-OG-01(config-if-range)# mab
SW-OG-01(config-if-range)# dot1x pae authenticator
SW-OG-01(config-if-range)# dot1x timeout tx-period 10
SW-OG-01(config-if-range)# spanning-tree portfast
SW-OG-01(config-if-range)# service-policy type control subscriber DOT1X-MAB
SW-OG-01(config-if-range)# end
SW-OG-01# write memory
</syntaxhighlight>
Ohne weiteren Befehl ist der Port im '''offenen Modus''' – Verkehr fließt auch vor der Anmeldung (entspricht dem Monitor Mode). Nach der Beobachtungsphase den Port schließen:
<syntaxhighlight lang="text">
SW-OG-01(config-if-range)# access-session closed
</syntaxhighlight>
Für viele gleiche Ports lässt sich die Port-Konfiguration auch als <code>template</code> zusammenfassen und mit <code>source template</code> zuweisen.

== Kontrolle ==
<syntaxhighlight lang="text">
show access-session                                   ! alle Sitzungen: Port, MAC, Methode, Domain, Status
show access-session interface gi1/0/5 details         ! Details inkl. VLAN und angewendeter Richtlinie
show policy-map type control subscriber DOT1X-MAB
show aaa servers                                      ! Erreichbarkeit der RADIUS-Server
test aaa group RADIUS-GRUPPE <benutzer> <passwort> new-code
</syntaxhighlight>
Erfolgreich angemeldete Geräte zeigen ''Auth'' im Status. <code>test aaa</code> prüft die RADIUS-Verbindung unabhängig vom Port.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Ursache !! Lösung
|-
| Ports reagieren nicht auf die Richtlinie || alte <code>authentication</code>-Befehle am Port, keine <code>service-policy</code> || Port-Konfiguration bereinigen, Richtlinie zuweisen
|-
| Telefon im Daten-VLAN || RADIUS liefert kein <code>device-traffic-class=voice</code> || RADIUS-Richtlinie für Telefone ergänzen
|-
| Nach RADIUS-Ausfall bleiben Geräte im Critical-VLAN || Ereignis <code>aaa-available</code> fehlt || Abschnitt wie oben ergänzen
|-
| Geräte ohne Netz trotz MAB-Eintrag || MAC-Format am RADIUS anders als vom Switch gesendet || Format am RADIUS angleichen oder <code>mab request format attribute 1 …</code> setzen
|}

== Hinweise ==
* '''Phasen einhalten:''' Erst offen beobachten, dann <code>access-session closed</code> – das Vorgehen beschreibt der 2960-X-Artikel ausführlich.
* '''Change of Authorization:''' Soll der RADIUS-Server Sitzungen nachträglich ändern können (z. B. Cisco ISE), zusätzlich <code>aaa server radius dynamic-author</code> mit dem Server als Client einrichten.
* Bei Planung und Einführung von 802.1X mit RADIUS unterstützt Sie das [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Team von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 9200]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 2960-X: 802.1X mit RADIUS konfigurieren]]
* [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]]
* [[802.1X]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/support/docs/switches/catalyst-3750-x-series-switches/207193-Configure-IBNS-2-0-for-Single-Host-and-M.html Cisco: Configure IBNS 2.0 for Single-Host and Multi-Domain Scenarios]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Leistungen von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]
[[Kategorie:IT-Security]]