配置Cisco VPN 3000 系列集中器来支持带有RADIUS服务器的NT 密码到期功能

下载选项

PDF (1.0 MB)
在各种设备上使用 Adobe Reader 查看
ePub (1.0 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (1.5 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2006 年 1 月 19 日

文档 ID:12086

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

如果您的RADIUS服务器和NT域身份验证服务器位于两台独立的计算机上，请确保您已在两台计算机之间建立IP连接。
确保已建立从集中器到RADIUS服务器的IP连接。如果RADIUS服务器指向公共接口，请不要忘记在公共过滤器上打开RADIUS端口。
确保您可以使用内部用户数据库从VPN客户端连接到集中器。如果未配置，请参阅配置IPSec - Cisco 3000 VPN客户端到VPN 3000集中器。

注意：密码到期功能不能用于Web VPN或SSL VPN客户端。

使用的组件

此配置使用下面软件和硬件版本开发并且被测试。

VPN 3000集中器软件版本4.7
VPN客户端版本3.5
Cisco Secure for NT(CSNT)3.0版Microsoft Windows 2000 Active Directory服务器，用于用户身份验证

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

网络图

本文档使用以下网络设置：

图表注释

此配置中的RADIUS服务器位于公共接口上。如果这是您特定设置的情况，请在公共过滤器中创建两个规则以允许RADIUS流量进入和离开集中器。
此配置显示CSNT软件和NT域身份验证服务在同一台计算机上运行。如果配置需要，这些元素可以在两台独立的计算机上运行。

配置 VPN 3000 集中器

组配置

要将组配置为接受来自RADIUS服务器的NT密码到期参数，请转到Configuration > User Management > Groups，从列表中选择您的组，然后单击Modify Group。以下示例显示如何修改名为“ipsecgroup”的组。
转到“IPSec”选项卡，确保为“身份验证”属性选择了“RADIUS with Expiry”。
如果希望在VPN 3002硬件客户端上启用此功能，请转到HW Client选项卡，确保已启用Require Interactive Hardware Client Authentication，然后单击Apply。

RADIUS 配置

要在集中器上配置RADIUS服务器设置，请转到Configuration > System > Servers > Authentication > Add。

在“添加”屏幕上，键入与RADIUS服务器对应的值，然后单击“添加”。

以下示例使用以下值。

Server Type: RADIUS

Authentication Server: 172.18.124.96

Server Port = 0 (for default of 1645)

Timeout = 4

Reties = 2

Server Secret = cisco123

Verify: cisco123

配置 Cisco Secure NT RADIUS 服务器

为 VPN 3000 集中器配置条目

登录CSNT并单击左面板中的“网络配置”。在“AAA Clients”下，单击“Add Entry”。
在“Add AAA Client”（添加AAA客户端）屏幕上，键入适当的值以将集中器添加为RADIUS客户端，然后单击Submit + Restart。

以下示例使用以下值。
```
AAA Client Hostname = 133_3000_conc
```
```
AAA Client IP Address = 172.18.124.133
```
```
Key = cisco123
```
```
Authenticate using = RADIUS (Cisco VPN 3000)
```
3000集中器的条目将显示在“AAA Clients”部分下。

为 NT 域验证配置未知用户策略

要将RADIUS服务器上的用户身份验证配置为未知用户策略的一部分，请单击左面板中的外部用户数据库，然后单击数据库配置的链接。
在“External User Database Configuration（外部用户数据库配置）”下，单击“Windows NT/2000”。
在“数据库配置创建”屏幕上，单击创建新配置。
出现提示时，键入NT/2000身份验证的名称，然后单击Submit。以下示例显示名称“Radius/NT Password Expiration”。
单击Configure以配置Domain Name for User Authentication。
从“可用域”(Available Domains)中选择NT域，然后点击右箭头按钮将其添加到“域列表”(Domain List)。在“MS-CHAP设置”下，确保选中了“使用MS-CHAP版本1和版本2允许密码更改”选项。完成后，单击 Submit。
单击左面板中的外部用户数据库，然后单击数据库组映射的链接(如本例所示)。您应该看到之前配置的外部数据库的条目。以下示例显示“Radius/NT密码过期”的条目，该数据库是我们刚配置的。
在“域配置”屏幕上，单击“新建配置”以添加域配置。
从“检测到的域”列表中选择域，然后单击“提交”。以下示例显示名为“JAZIB-ADS”的域。
单击域名以配置组映射。此示例显示域“JAZIB-ADS”。
单击添加映射以定义组映射。
在“创建新组映射”屏幕上，将NT域上的组映射到CSNT RADIUS服务器上的组，然后单击提交。以下示例将NT组“Users”映射到RADIUS组“Group 1”。
单击左面板中的外部用户数据库，然后单击未知用户策略的链接(如本例所示)。确保选中了“检查以下外部用户数据库”选项。单击右箭头按钮，将先前配置的外部数据库从“外部数据库”列表移动到“选定数据库”列表。

测试 NT/RADIUS密码到期功能

集中器提供测试RADIUS身份验证的功能。要正确测试此功能，请确保仔细执行这些步骤。

测试 RADIUS 验证

转至Configuration > System > Servers > Authentication。选择您的RADIUS服务器并单击测试。
出现提示时，键入NT域用户名和密码，然后单击OK。以下示例显示在NT域服务器上配置的用户名“jfrahim”，口令为“cisco123”。
如果身份验证设置正确，您应收到一条消息，指出“身份验证成功”。

如果您收到除上面所示消息以外的任何消息，则会出现配置或连接问题。请重复本文档中概述的配置和测试步骤，以确保正确设置所有设置。另请检查设备之间的IP连接。