PEAP-MS-CHAPv2 マシン認証が設定された Cisco Secure ACS for Windows v3.2

はじめに

この文書では、Cisco Secure ACS for Windows バージョン 3.2 を使用して、Protected Extensible Authentication Protocol（PEAP）を設定する方法を説明します。

ワイヤレスLANコントローラ、Microsoft Windows 2003ソフトウェア、およびCisco Secure Access Control Server(ACS)4.0を使用してセキュアワイヤレスアクセスを設定する方法の詳細については、『ACS 4.0とWindows 2003を使用したUnified Wireless Network環境でのPEAP』を参照してください。

前提条件

要件

このドキュメントに関しては個別の前提条件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

• Cisco Secure ACS for Windows バージョン 3.2

• Microsoft Certificate Services（エンタプライズのルート証明機関 [CA] としてインストールされている）

  注：詳細については、『Step-by-Step Guide to Setting up a Certification Authority 』を参照してください。

• Service Pack 3 をインストールした Windows 2000 Server を使った DNS サービス

  注： CAサーバで問題が発生した場合は、ホットフィックス323172 をインストールしてください。Windows 2000 SP3クライアントでは、ホットフィックス313664 を適用しないとIEEE 802.1x認証を有効にできません。

• Cisco Aironet 1200 シリーズ Wireless Access Point 12.01T

• Service Pack 1 を適用済みの Windows XP Professional を実行する IBM ThinkPad T30

このマニュアルの情報は、特定のラボ環境に置かれたデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、使用前にその潜在的な影響について確実に理解しておく必要があります。

背景理論

PEAP と EAP-TLS は両方とも TLS/Secure Socket Layer（SSL）トンネルを構築して、使用します。PEAPはサーバ側の認証だけを使用します。サーバだけが証明書を持ち、そのIDをクライアントに証明します。しかし EAP-TLS では、ACS（Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング））サーバとクライアントの両方が証明書を用意し、相互に ID を証明する相互認証を使用します。

クライアントが証明書を必要としないため、PEAP は便利です。EAP-TLS は、証明書がユーザからのインタラクションを必要とないため、認証を行うヘッドレス デバイスでは有用です。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

ネットワーク図

このドキュメントでは次の図に示すネットワーク構成を使用しています。

Cisco Secure ACS for Windows v3.2の設定

ACS 3.2を設定するには、次の手順に従います。

1. ACS サーバ用の証明書を取得する。

2. ストレージから証明書を使用するよう ACS を設定する。

3. ACS が信頼する必要のある追加の認証局を指定する。

4. サービスを再起動し、ACS での EAP-TLS 設定を構成する。

5. アクセス ポイントを AAA クライアントとして指定および設定する。

6. 外部ユーザ データベースを設定する。

7. Restart the service.

ACS サーバ用の証明書を取得する

証明書を取得するには、次のステップに従います。

1. ACS サーバで Web ブラウザを開き、アドレス バーに http://CA-ip-address/certsrv と入力して CA サーバを表示します。Administrator としてドメインにログインします。

   

2. [Request a certificate] を選択してから [Next] をクリックします。

   

3. [Advanced request] を選択してから [Next] をクリックします。

   

4. [Submit a certificate request to this CA using a form] を選択してから [Next] をクリックします。

   

5. 証明書のオプションを設定します。

   1. 証明書のテンプレートとして Web Server を選択します。ACS サーバの名前を入力します。

      

   2. 鍵のサイズを 1024 に設定します。Mark keys as exportable と Use local machine store のオプションを選択します。必要に応じてその他のオプションを設定し、[Submit] をクリックします。

      

      注：スクリプト違反を示す警告ウィンドウが表示される場合（ブラウザのセキュリティ/プライバシー設定によって異なります）、続行するにはYesをクリックします。

      

6. [Install this certificate] をクリックします。

   

   注：スクリプト違反を示す警告ウィンドウが表示される場合（ブラウザのセキュリティ/プライバシー設定によって異なります）、続行するにはYesをクリックします。

   

7. インストールに成功した場合は、確認メッセージが表示されます。

   

ストレージから証明書を使用するよう ACS を設定する

ストレージにある証明書を使用するよう ACS を設定するには、次のステップに従います。

1. Web ブラウザを開き、アドレス バーに http://ACS-ip-address:2002/ と入力して ACS サーバを表示します。[System Configuration] をクリックし、[ACS Certificate Setup] をクリックします。

2. [Install ACS Certificate] をクリックします。

3. [Use certificate from storage] を選択します。Certificate CNフィールドに、「ACSサーバの証明書を取得する」のステップ5aで割り当てた証明書の名前を入力します。[Submit] をクリックします。

   ここで入力する情報は、高度な証明書の要求時に Name フィールドにタイプした名前と同じである必要があります。これは、サーバ証明書のサブジェクトフィールドのCN名です。サーバ証明書を編集して、この名前を確認できます。この例では、この名前は「OurACS」です。発行者の CN 名は入力しないでください。

   

4. 設定が完了すると、ACS サーバの設定が変更されたことを示す確認メッセージが表示されます。

   注：この時点では、ACSを再起動する必要はありません。

   

ACS が信頼する必要のある追加の認証局を指定する

ACS は、独自の証明書を発行した CA を自動的に信頼します。クライアントの証明書が追加の CA により発行された場合は、次のステップを完了する必要があります。

1. [System Configuration] をクリックし、[ACS Certificate Setup] をクリックします。

2. [ACS Certificate Authority Setup] をクリックして、信頼された証明書のリストに CA を追加します。CA 証明書ファイル用のフィールドに証明書の場所を入力し、[Submit] をクリックします。

   

3. [Edit Certificate Trust List] をクリックします。ACS が信頼するすべての CA にチェック マークを付け、ACS が信頼しないすべての CA のチェック マークを外します。[Submit] をクリックします。

   

サービスを再起動し、ACS での PEAP の設定を設定する

サービスを再起動し、PEAP設定を構成するには、次の手順に従います。

1. [System Configuration] をクリックし、[Service Control] をクリックします。

2. Restart をクリックしてサービスを再起動します。

3. PEAP の設定を設定するには、System Configuration をクリックしてから Global Authentication Setup をクリックします。

4. 次に示す 2 つの設定をチェックし、その他の設定をデフォルトのままにします。必要に応じて、Enable Fast Reconnect などの追加設定を設定できます。設定を終えたら [Submit] をクリックします。

   • Allow EAP-MSCHAPv2

   • Allow MS-CHAP Version 2 Authentication

   注：高速接続の詳細については、『システムの構成：認証と証明書』の「認証構成オプション」を参照してください。

   

アクセス ポイントを AAA クライアントとして指定および設定する

アクセス ポイント（AP）を AAA クライアントとして設定するには、次のステップに従います。

1. [Network Configuration] をクリックします。[AAA Clients] で、[Add Entry] をクリックします。

   

2. AAA Client Hostname フィールドに AP のホスト名を入力し、AAA Client IP Address フィールドにその IP アドレスを入力します。Key フィールドに、ACS と AP 用の共有秘密鍵を入力します。認証方式として RADIUS (Cisco Aironet) を選択します。設定を終えたら [Submit] をクリックします。

   

外部ユーザ データベースを設定する

外部ユーザ データベースを設定するには、次のステップに従います。

注：Windowsデータベースへのマシン認証でPEAP-MS-CHAPv2をサポートしているのはACS 3.2だけです。

1. [External User Databases] をクリックし、[Database Configuration] をクリックします。[Windows Database] をクリックします。

   注：定義済みのWindowsデータベースがない場合は、Create New Configurationをクリックし、Submitをクリックします。

2. [Configure] をクリックします。Configure Domain List の下で、SEC-SYD ドメインを、Available Domains から Domain List へ移動させます。

   

3. マシン認証を有効にするには、Windows EAP Settings でオプション Permit PEAP machine authentication をチェックします。マシン認証名のプレフィックスを変更しないでください。Microsoft では現在、「/host」（デフォルト値）を使用して、ユーザ認証とマシン認証を区別しています。必要があれば、Permit password change inside PEAP のオプションをチェックします。設定を終えたら [Submit] をクリックします。

   

4. [External User Databases] をクリックし、[Unknown User Policy] をクリックします。Check the following external user databasesのオプションを選択してから、右矢印ボタン( -> )を使用して、Windows DatabaseをExternal DatabasesからSelected Databasesに移動します。設定を終えたら [Submit] をクリックします。

   

サービスを再起動する

ACS の設定を完了したら、次のステップに従ってサービスを再起動します。

1. [System Configuration] をクリックし、[Service Control] をクリックします。

2. [Restart] をクリックします。

シスコアクセスポイントの設定

AP を設定し、認証サーバとして ACS を使用するには、次のステップに従います。

1. Web ブラウザを開き、アドレス バーに http://AP-ip-address/certsrv と入力して AP を表示します。ツールバーで [Setup] をクリックします。

2. Services で Security をクリックします。

3. Authentication Server をクリックします。

   注：APでアカウントを設定している場合は、ログインする必要があります。

4. 認証者の設定を入力します。

   • 802.1x プロトコル バージョンの場合（EAP 認証の場合）は 802.1x-2001 を選択します。

   • Server Name/IP フィールドに ACS サーバの IP アドレスを入力します。

   • Server Type として RADIUS を選択します。

   • [Port] フィールドに 1645 または 1812 と入力します。

   • アクセス ポイントを AAA クライアントとして指定および設定するのステップ 2 で指定した共有秘密鍵を入力します。

   • EAP Authentication のオプションをチェックして、サーバをどのように使用する必要があるかを指定します。

   終了したら、[OK] をクリックします。

   

5. [Radio Data Encryption (WEP)] をクリックします。

6. 内部データ暗号化設定を入力します。

   • Full Encryption を選択してデータ暗号化のレベルを設定します。

   • 暗号化キーを入力し、ブロードキャスト キーとして使用するようにキー サイズを 128 ビットに設定します。

   終了したら、[OK] をクリックします。

   

7. Network > Service Setsの順に選択し、SSID Idxを選択して、正しいService Set Identifier(SSID)を使用していることを確認し、終了したらOKをクリックします。

   次の例は、デフォルトの SSID「tsunami」を示しています。

   

無線クライアントの設定

ACS 3.2を設定するには、次の手順に従います。

1. MS 証明書のマシン自動登録を設定する。

2. ドメインに参加する。

3. Windows クライアントで、ルート証明書を手動インストールする。

4. ワイヤレス ネットワーキングを設定する。

MS証明書のマシン自動登録の設定

ドメインコントローラKantでマシン証明書の自動登録を行うようにドメインを設定するには、次の手順に従います。

1. [Start] > [Settings] > [Control Panel] > [Administrative Tools] に移動し、Active Directory ユーザおよびコンピュータを開きます。

2. domain sec-syd を右クリックし、サブメニューから Properties を選択します。

3. Group Policy タブを選択します。[Default Domain Policy] をクリックしてから [Edit] をクリックします。

4. [Computer Configuration] > [Windows Settings] > [Security Settings] > [Public Key Policies] > [Automatic Certificate Request Settings] に移動します。

   

5. メニューバーで、Action > New > Automatic Certificate Requestの順に移動し、Nextをクリックします。

6. Computer を選択し Next をクリックします。

7. CA をチェックします。

   この例では、CA は「Our TAC CA」という名前です。

8. [Next] をクリックし、次に [Finish] をクリックします。

ドメインに参加する

無線クライアントをドメインに追加するには、次のステップに従います。

注：これらの手順を完了するには、ワイヤレスクライアントが有線接続を介して、または802.1xセキュリティを無効にしたワイヤレス接続を介してCAに接続できる必要があります。

1. ローカル管理者として Windows XP にログインします。

2. [Control Panel] > [Performance and Maintenance] > [System] を選択します。

3. Computer Name タブを選択してから Change をクリックします。コンピュータ名のフィールドにホスト名を入力します。Domain を選択してからドメインの名前（この例では「SEC-SYD」）を入力します。[OK] をクリックします。

   

4. ログイン ダイアログが表示されたら、ドメインに参加するアクセス権を持つアカウントを使用してログインすることで、ドメインに参加します。

5. コンピュータがドメインへの参加に成功したら、コンピュータを再起動します。マシンはドメインのメンバーになります。マシン自動登録を設定しているので、マシンにはCA用の証明書と、マシン認証用の証明書がインストールされています。

Windows クライアントでルート証明書を手動でインストールする

ルート証明書を手動でインストールするには、次のステップを実行します。

注意：すでにマシン自動登録を設定している場合は、このステップは必要ありません。「無線ネットワークを設定する」に進んでください。

1. Windows クライアント マシンで、Web ブラウザを開き、アドレス バーに http://root-CA-ip-address/certsrv と入力して、Microsoft CA サーバを表示します。CA サイトにログインします。

   この例では、CA の IP アドレスは 10.66.79.241 です。

   

2. Retrieve the CA certificate or certification revocation list を選択し、Next をクリックします。

   

3. Download CA certificate をクリックして、証明書をローカル マシンに保存します。

   

4. 証明書を開き、Install Certificate をクリックします。

   注：次の例では、左上のアイコンは、証明書がまだ信頼されていない（インストールされていない）ことを示します。

   

5. Current User/ Trusted Root Certificate Authorities に証明書をインストールします。

   1. [Next] をクリックします。

   2. Automatically select the certificate store based on the type of the certificate を選択し、Next をクリックします。

   3. Finish をクリックすると、Current User/ Trusted Root Certificate Authorities の下に、ルート証明書が自動的に保存されます。

ワイヤレス ネットワーキングを設定する

無線ネットワークのオプションを設定するには、次のステップに従います。

1. ドメイン ユーザとしてドメインにログインします。

2. [Control Panel] > [Network and Internet Connections] > [Network Connections] に進みます。Wireless Connection を右クリックし、表示されるサブメニューから Properties を選択します。

3. Wireless Networks タブを選択します。使用可能なネットワークのリストから、（AP の SSID 名を使用して表示される）無線ネットワークを選択し、Configure をクリックします。

   

4. ネットワークのプロパティのウィンドウの Authentication タブで、Enable IEEE 802.1x authentication for this network のオプションをチェックします。EAP のタイプに関しては、EAP type の Protected EAP (PEAP) を選択してから、Properties をクリックします。

   注：マシン認証を有効にするには、Authenticate as computer when computer information is availableのオプションをオンにします。

   

5. Validate server certificate をチェックしてから、PEAP クライアントと ACS デバイスが使用するエンタープライズ用ルート CA をチェックします。認証方式として Secure password (EAP-MSCHAP v2) を選択してから、Configure をクリックします。

   この例では、ルート CA は「Our TAC CA」という名前です。

   

6. 単一のサインオンをイネーブルにするには、Automatically use my Windows logon name and password (and domain if any) のオプションをチェックしてください。OK をクリックしてこの設定を受け入れてから、再度 OK をクリックして、Network Properties ウィンドウに戻ります。

   PEAP に単一のサインオンを使用すると、クライアントは PEAP 認証用に Windows ログイン名を使用するため、ユーザはパスワードを 2 回入力する必要はありません。

   

7. ネットワークのプロパティのウィンドウの Association タブで、Data encryption (WEP enabled) および The key is provided for me automatically のオプションをチェックします。OK をクリックしてから再度 OK をクリックして、ネットワーク設定のウィンドウを閉じます。

   

確認

ここでは、設定が正しく機能していることを確認するために使用する情報を示します。

• ワイヤレスクライアントが認証されたことを確認するには、ワイヤレスクライアントでControl Panel > Network and Internet Connections > Network Connectionsの順に選択します。メニュー バーで [View] > [Tiles] に移動します。無線接続では、「Authentication succeeded」というメッセージが表示されるはずです。

• ワイヤレスクライアントが認証されたことを確認するには、ACS WebインターフェイスでReports and Activity > Passed Authentications > Passed Authentications active.csvの順に移動します。

トラブルシュート

このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。

• Service Pack 3 を適用した Windows 2000 Advanced Server 上で、MS Certificate Services がエンタプライズのルート証明機関としてインストールされていることを確認します。MS 証明書サービスをインストールした後、ホットフィックス 323172 と 313664 をインストールする必要があります。MS 証明書サービスを再インストールした場合、ホットフィックス 323172 も再インストールする必要があります。

• Windows 2000（Service Pack 3）とともに Cisco Secure ACS for Windows バージョン 3.2 を使用していること確認します。ホットフィックス 323172 と 313664 がインストールされていることを確認してください。

• 無線クライアント上でマシン認証が失敗する場合は、無線接続でネットワーク接続が存在しません。プロファイルが無線クライアント上にキャッシュされているアカウントだけが、ドメインにログインできます。マシンを有線ネットワークにつなげるか、802.1x セキュリティのない無線接続用に設定する必要があります。

• ドメインに参加する際に CA への自動登録が失敗する場合は、Event Viewer を確認して考えられる理由を調べます。ラップトップの DNS 設定をチェックしてください。

• ACS の証明書がクライアントに拒否された（証明書の有効な「from」および「to」の日付、クライアントの日付と時刻の設定、および CA の信頼性に依存）場合、クライアントはその証明書を拒否し、認証が失敗します。ACS は失敗した認証を Web インターフェイスの [Reports and Activity] > [Failed Attempts] > [Failed Attempts XXX.csv] に記録します。これは、たとえば「EAP-TLS or PEAP authentication failed during SSL handshake」のような認証失敗コードで記録されます。 CSAuth.log ファイルの予想されるエラー メッセージは、次のようになります。

  AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg: 
  other side probably didn't accept our certificate

• ACS Webインターフェイスのログでは、Reports and Activity > Passed Authentications > Passed Authentications XXX.csvおよびReports and Activity > Failed Attempts > Failed Attempts XXX.csvの両方で、PEAP認証が<DOMAIN>\<user-id>の形式で表示されます。EAP-TLS認証は、<user-id>@<domain>の形式で表示されます。

• PEAP Fast Reconnect を使用するには、ACS サーバとクライアントの両方で、この機能をイネーブルにする必要があります。

• PEAP パスワードの変更がイネーブルの場合、アカウントのパスワードの期限が切れたか、次回ログイン時にパスワードを変更するようにアカウントがマーキングされている場合にだけ、パスワードの変更が可能です。

• 次のステップに従うことで、ACS サーバの証明書と信頼性を確認できます。

  1. Administrator の特権を持つアカウントを使用して、ACS サーバで Windows にログインします。[Start] > [Run] に移動し、mmc と入力して [OK] をクリックします。これにより、Microsoft 管理コンソールが開きます。

  2. メニュー バーで、[Console] > [Add/Remove Snap-in] に移動し、[Add] をクリックします。

  3. [Certificates] を選択し、[Add] をクリックします。

  4. [Computer account] を選択してから [Next] をクリックし、[Local computer] (このコンソールが実行されているコンピュータ) を選択します。

  5. [Finish]、[Close]、[OK] の順にクリックします。

  6. ACSサーバに有効なサーバ側証明書があることを確認するには、Console Root > Certificates (Local Computer) > ACSCertStore > Certificatesの順に選択します。ACS サーバ用の証明書があることを確認します（この例の名前は「OurACS」）。証明書を開き、次の項目を確認します。

     • すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

     • 信頼されていない証明書に関する警告が存在しない。

     • 「This certificate is intended to - Ensures the identity of a remote computer.」というメッセージが存在する。

     • 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

     • 「You have a private key that corresponds to this certificate.」というメッセージが存在する。

  7. Details タブで、Version フィールドの値が V3 で、Enhanced Key Usage フィールドは Server Authentication (1.3.6.1.5.5.7.3.1) となっていること確認します。

  8. ACSサーバがCAサーバを信頼していることを確認するには、Console Root > Certificates (Local Computer) > Trusted Root Certification Authorities > Certificatesの順に選択します。CA サーバ用の証明書があることを確認します（この例の名前は「Our TAC CA」）。証明書を開き、次の項目を確認します。

     • すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

     • 信頼されていない証明書に関する警告が存在しない。

     • 証明書の使用目的が正しい。

     • 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

     ACS とクライアントが同じルート CA を使用していなかった場合は、CA サーバの証明書連鎖が完全にインストールされていることを確認します。証明書が下位証明機関から取得された場合も、同じことが当てはまります。

• 次の手順によって、クライアントの信頼性を確認できます。

  1. クライアントのアカウントを使って、無線クライアントの Windows にログインします。[Start] > [Run] に移動し、mmc と入力して [OK] をクリックします。これにより、Microsoft 管理コンソールが開きます。

  2. メニュー バーで、[Console] > [Add/Remove Snap-in] に移動し、[Add] をクリックします。

  3. [Certificates] を選択し、[Add] をクリックします。

  4. Close をクリックしてから、OK をクリックします。

  5. クライアントのプロファイルがCAサーバを信頼していることを確認するには、Console Root > Certificates - Current User > Trusted Root Certification Authorities > Certificatesの順に移動します。CA サーバ用の証明書があることを確認します（この例の名前は「Our TAC CA」）。証明書を開き、次の項目を確認します。

     • すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

     • 信頼されていない証明書に関する警告が存在しない。

     • 証明書の使用目的が正しい。

     • 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

     ACS とクライアントが同じルート CA を使用していなかった場合は、CA サーバの証明書連鎖が完全にインストールされていることを確認します。証明書が下位証明機関から取得された場合も、同じことが当てはまります。

• Cisco Secure ACS for Windows v3.2 の設定の項で説明されている ACS の設定を確認します。

• シスコ アクセス ポイントの設定の項で説明されている AP の設定を確認します。

• 無線クライアントの設定の項で説明されている無線クライアントの設定を確認します。

• AAA サーバの内部データベース、または設定済みの外部データベースの 1 つに、ユーザ アカウントが存在することを確認します。そのアカウントが無効になっていないことを確認します。

関連情報

• Cisco Secure ACS for Windows に関するサポート ページ
• ワイヤレス LAN ネットワークへの EAP-TLS の導入ガイド
• Cisco Secure ACS for Windows のバージョン情報および AAA デバッグ情報の取得
• テクニカルサポート - Cisco Systems