目錄

簡介

必要條件

需求

採用元件

背景理論

慣例

網路圖表

配置Cisco Secure ACS for Windows v3.2

獲取ACS伺服器的證書

配置ACS以使用來自儲存的證書

指定ACS應信任的其他證書頒發機構

重新啟動服務並在ACS上配置PEAP設定

指定接入點並將其配置為AAA客戶端

配置外部使用者資料庫

重新啟動服務

配置思科接入點

配置無線客戶端

配置MS證書電腦自動註冊

加入域

在Windows客戶端上手動安裝根證書

配置無線網路

驗證

疑難排解

相關資訊

簡介

本文示範了如何使用Cisco Secure ACS for Windows 3.2版配置受保護的可擴展身份驗證協定(PEAP)。

有關如何使用無線LAN控制器、Microsoft Windows 2003軟體和Cisco安全訪問控制伺服器(ACS)4.0配置安全無線接入的詳細資訊，請參閱ACS 4.0和Windows 2003的統一無線網路下的PEAP。

必要條件

需求

本文件沒有特定先決條件。

採用元件

本檔案中的資訊是根據以下軟體和硬體版本。

- 適用於Windows的Cisco安全ACS版本3.2

- Microsoft證書服務（作為企業根證書頒發機構[CA]安裝）

注意：有關詳細資訊，請參閱設定證書頒發機構的分步指南 。

- 帶有Service Pack 3的Windows 2000 Server的DNS服務

注意：如果遇到CA伺服器問題，請安裝修補程式323172 。Windows 2000 SP3客戶端需要修補程式31364 ，以啟用IEEE 802.1x身份驗證。

- Cisco Aironet 1200系列無線存取點12.01T

- 運行Windows XP Professional（帶Service Pack 1）的IBM ThinkPad T30

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您在即時網路中工作，請確保在使用任何命令之前瞭解其潛在影響。

背景理論

PEAP和EAP-TLS均構建並使用TLS/安全套接字層(SSL)隧道。PEAP僅使用伺服器端身份驗證；只有伺服器具有證書並向客戶端證明其身份。但是，EAP-TLS使用相互身份驗證，其中ACS（身份驗證、授權和記帳[AAA]）伺服器和客戶端均具有證書並向彼此證明其身份。

PEAP非常方便，因為客戶端不需要證書。EAP-TLS對驗證無頭裝置非常有用，因為證書不需要使用者互動。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

網路圖表

本文檔使用下圖所示的網路設定。

配置Cisco Secure ACS for Windows v3.2

按照以下步驟配置ACS 3.2。

1. 獲取ACS伺服器的證書。

2. 配置ACS以使用來自儲存的證書。

3. 指定ACS應信任的其他證書頒發機構。

4. 重新啟動服務並在ACS上配置PEAP設定。

5. 指定接入點並將其配置為AAA客戶端。

6. 配置外部使用者資料庫。

7. 重新啟動服務。

獲取ACS伺服器的證書

請依照以下步驟操作，取得憑證。

1. 在ACS伺服器上，開啟Web瀏覽器，在位址列中輸入http://CA-ip-address/certsrv以瀏覽到CA伺服器。以管理員身份登入域。

2. 選擇Request a certificate，然後按一下Next。

3. 選擇Advanced request，然後按一下Next。

4. 選擇Submit a certificate request to this CA using a form，然後按一下Next。

5. 設定憑證選項。

1. 選擇Web Server作為證書模板。輸入ACS伺服器的名稱。

2. 將金鑰大小設定為1024。選擇Mark keys as exportable和Use local machine store的選項。根據需要配置其他選項，然後按一下Submit。

注意：如果您看到一個警告視窗，該視窗涉及指令碼衝突（取決於瀏覽器的安全/隱私設定），請按一下「是」繼續。

6. 按一下「Install this certificate」。

注意：如果您看到一個警告視窗，該視窗涉及指令碼衝突（取決於瀏覽器的安全/隱私設定），請按一下「是」繼續。

7. 如果安裝成功，您將看到一條確認消息。

配置ACS以使用來自儲存的證書

按照以下步驟配置ACS以使用儲存中的證書。

1. 開啟Web瀏覽器，在位址列中輸入http://ACS-ip-address:2002/以瀏覽到ACS伺服器。按一下System Configuration，然後按一下ACS Certificate Setup。

2. 按一下安裝ACS證書。

3. 選擇Use certificate from storage。在「Certificate CN」欄位中，輸入在Obtain a Certificate for the ACS Server一節的步驟5a中指派的憑證的名稱。按一下「Submit」。

此條目必須與您在高級證書請求期間在「名稱」欄位中鍵入的名稱相匹配。是伺服器憑證主體欄位中的CN名稱；可以編輯伺服器證書以檢查此名稱。在本範例中，名稱是「OurACS」。 不要輸入頒發者的CN名稱。

4. 配置完成後，您將看到一條確認消息，指示ACS伺服器的配置已更改。

注意：此時不需要重新啟動ACS。

指定ACS應信任的其他證書頒發機構

ACS將自動信任頒發其證書的CA。如果使用者端憑證是由額外的CA核發，則需要完成以下步驟。

1. 按一下System Configuration，然後按一下ACS Certificate Setup。

2. 按一下ACS Certificate Authority Setup，將CA新增到受信任證書清單中。在CA證書檔案的欄位中，輸入證書的位置，然後按一下提交。

3. 按一下「Edit Certificate Trust List」。檢查ACS應信任的所有CA，並取消檢查ACS不應信任的所有CA。按一下「Submit」。

重新啟動服務並在ACS上配置PEAP設定

按照以下步驟重新啟動服務並配置PEAP設定。

1. 按一下System Configuration，然後按一下Service Control。

2. 按一下Restart以重新啟動服務。

3. 要配置PEAP設定，請按一下System Configuration，然後按一下Global Authentication Setup。

4. 檢查下面顯示的兩個設定，並將所有其他設定保留為預設值。如果需要，可以指定其他設定，例如「啟用快速重新連線」。完成後，按一下Submit。

- 允許EAP-MSCHAPv2

- 允許MS-CHAP版本2身份驗證

註：有關快速連線的詳細資訊，請參閱系統配置中的「身份驗證配置選項」：驗證與憑證。

指定接入點並將其配置為AAA客戶端

按照以下步驟將接入點(AP)配置為AAA客戶端。

1. 按一下「Network Configuration」。在AAA Clients下，按一下Add Entry。

2. 在AAA Client Hostname欄位中輸入AP的主機名，並在AAA Client IP Address欄位中輸入IP地址。在Key（金鑰）欄位中輸入ACS和AP的共用金鑰。選擇RADIUS(Cisco Aironet)作為驗證方法。完成後，按一下Submit。

配置外部使用者資料庫

按照以下步驟配置外部使用者資料庫。

注意：只有ACS 3.2支援對Windows資料庫進行電腦身份驗證的PEAP-MS-CHAPv2。

1. 按一下External User Databases，然後按一下Database Configuration。按一下Windows資料庫。

注意：如果尚未定義Windows資料庫，請按一下建立新配置，然後按一下提交。

2. 按一下「Configure」。在配置域清單下，將SEC-SYD域從可用域移動到域清單。

3. 要啟用電腦身份驗證，請在Windows EAP Settings下選中Permit PEAP machine authentication選項。請勿更改電腦身份驗證名稱字首。Microsoft當前使用「/host」（預設值）來區分使用者和電腦身份驗證。如果需要，請選中Permit password change inside PEAP選項。完成後，按一下Submit。

4. 按一下External User Databases，然後按一下Unknown User Policy。選擇檢查以下外部使用者資料庫的選項，然後使用右箭頭按鈕(->)將Windows資料庫從外部資料庫移動到選定資料庫。完成後，按一下Submit。

重新啟動服務

完成ACS配置後，請按照以下步驟重新啟動服務。

1. 按一下System Configuration，然後按一下Service Control。

2. 按一下「Restart」。

配置思科接入點

按照以下步驟配置AP以使用ACS作為身份驗證伺服器。

1. 開啟Web瀏覽器，在位址列中輸入http://AP-ip-address/certsrv以瀏覽到AP。在工具欄上，按一下Setup。

2. 在「服務」下，按一下安全。

3. 按一下「Authentication Server」。

注意：如果您在AP上配置了帳戶，則需要登入。

4. 輸入身份驗證器配置設定。

- 選擇802.1x-2001作為802.1x協定版本（用於EAP身份驗證）。

- 在Server Name/IP欄位中輸入ACS伺服器的IP地址。

- 選擇RADIUS作為伺服器型別。

- 在Port欄位中輸入1645或1812。

- 輸入您在指定接入點並將其配置為AAA客戶端的步驟2中指定的共用金鑰。

- 選中EAP Authentication選項以指定應如何使用伺服器。

完成後，按一下OK。

5. 按一下「Radio Data Encryption(WEP)」。

6. 輸入內部資料加密設定。

- 選擇完全加密以設定資料加密級別。

- 輸入加密金鑰並將金鑰大小設置為128位，以用作廣播金鑰。

完成後，按一下OK。

7. 請轉到Network > Service Sets > Select the SSID Idx（選擇SSID IDX），確認您使用的是正確的服務集識別符號(SSID)，並在完成後按一下OK。

以下示例顯示預設SSID「tsunami」。

配置無線客戶端

按照以下步驟配置ACS 3.2。

1. 配置MS證書電腦自動註冊。

2. 加入域。

3. 在Windows客戶端上手動安裝根證書。

4. 配置無線網路。

配置MS證書電腦自動註冊

按照以下步驟在域控制器Kant上配置用於自動電腦證書註冊的域。

1. 轉到控制面板>管理工具>開啟Active Directory使用者和電腦。

2. 按一下右鍵domain sec-syd，然後從子選單中選擇Properties。

3. 選擇Group Policy選項卡。按一下Default Domain Policy，然後按一下Edit。

4. 轉到Computer Configuration > Windows Settings > Security Settings > Public Key Policies > Automatic Certificate Request Settings。

5. 在選單欄上，轉到Action > New > Automatic Certificate Request，然後按一下Next。

6. 選擇「Computer」，然後按一下「Next」。

7. 檢查CA。

在本範例中，CA命名為「我們的TAC CA」。

8. 按一下Next，然後按一下Finish。

加入域

按照以下步驟將無線客戶端新增到域中。

注意：要完成這些步驟，無線客戶端必須通過有線連線或通過禁用802.1x安全性的無線連線來連線到CA。

1. 以本地管理員身份登入到Windows XP。

2. 轉到控制面板>效能和維護>系統。

3. 選擇Computer Name頁籤，然後按一下Change。在電腦名稱欄位中輸入主機名。選擇Domain，然後輸入域的名稱（在此示例中為SEC-SYD）。 按一下「OK」（確定）。

4. 當顯示登入對話方塊時，使用有權加入域的帳戶登入以加入域。

5. 電腦成功加入域後，重新啟動電腦。電腦將成為域的成員；由於我們已經設定電腦自動註冊，因此電腦將安裝用於CA的證書以及用於電腦身份驗證的證書。

在Windows客戶端上手動安裝根證書

請按照以下步驟手動安裝根證書。

附註：  如果已經設定了電腦自動註冊，則不需要此步驟。請跳至配置無線網路。

1. 在Windows客戶端電腦上，開啟Web瀏覽器，通過在位址列中輸入http://root-CA-ip-address/certsrv來瀏覽到Microsoft CA伺服器。登入到CA站點。

在本例中，CA的IP地址為10.66.79.241。

2. 選擇檢索CA證書或證書吊銷清單，然後按一下下一步。

3. 按一下Download CA certificate，將證書儲存在本地電腦上。

4. 開啟證書並按一下Install Certificate。

注意：在下面的示例中，左上方的圖示表示證書尚未受信任（已安裝）。

5. 在當前使用者/受信任的根證書頒發機構中安裝證書。

1. 按「Next」（下一步）。

2. 選擇根據證書型別自動選擇證書儲存區，然後按一下下一步。

3. 按一下Finish，將根證書自動置於Current User/Trusted Root Certificate Authorities下。

配置無線網路

按照以下步驟設定無線網路選項。

1. 以域使用者身份登入域。

2. 轉到控制面板>網路和Internet連線>網路連線。按一下右鍵Wireless Connection，然後從顯示的子選單中選擇Properties。

3. 選擇Wireless Networks頁籤。從可用網路清單中選擇無線網路（使用AP的SSID名稱顯示），然後按一下Configure。

4. 在網路屬性視窗的Authentication頁籤上，選中Enable IEEE 802.1x authentication for this network選項。對於EAP型別，為EAP型別選擇Protected EAP(PEAP)，然後按一下Properties。

注意：要啟用電腦身份驗證，請選中Authenticate as computer when computer information available選項。

5. 選中Validate server certificate，然後選中PEAP客戶端和ACS裝置所使用的企業的根CA。選擇Secure password(EAP-MSCHAP v2)作為身份驗證方法，然後按一下Configure。

在本範例中，根CA命名為「我們的TAC CA」。

6. 要啟用單一登入，請選中自動使用我的Windows登入名和密碼（以及域，如果有）選項。 按一下OK接受此設定，然後再次按一下OK返回網路屬性視窗。

通過PEAP的單點登入，客戶端使用Windows登入名進行PEAP身份驗證，因此使用者無需再次輸入密碼。

7. 在網路屬性視窗的Association頁籤上，選中Data encryption(WEP enabled)和The key is provided for me automatically的選項。按一下「OK」，然後再次按一下「OK」以關閉網路組態視窗。

驗證

本節提供的資訊可用於確認您的組態是否正常運作。

- 要驗證無線客戶端是否已通過身份驗證，請在無線客戶端上轉至控制面板>網路和Internet連線>網路連線。在選單欄上，轉至檢視>磁貼。無線連線應顯示消息「Authentication succeeded」。

- 要驗證無線客戶端是否已通過身份驗證，請在ACS Web介面上轉至Reports and Activity > Passed Authentications > Passed Authentications active.csv。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

- 驗證MS證書服務是否已作為企業根CA安裝在帶有Service Pack 3的Windows 2000 Advanced Server上。安裝MS證書服務後，必須安裝修補程式323172和313664。如果重新安裝MS證書服務，則還必323172重新安裝修補程式。

- 驗證是否在Windows 2000和Service Pack 3中使用適用於Windows 3.2版的Cisco Secure ACS。確保已安裝修補程式323172和313664。

- 如果無線客戶端上的電腦身份驗證失敗，則無線連線上將沒有網路連線。只有在無線客戶端上快取其配置檔案的帳戶才能登入該域。電腦需要插入有線網路或設定為無802.1x安全性的無線連線。

- 如果在加入域時使用CA自動註冊失敗，請檢查「事件檢視器」以瞭解可能的原因。嘗試檢查筆記型電腦上的DNS設定。

- 如果ACS的證書被客戶端拒絕（這取決於證書的有效「自」和「至」日期、客戶端的日期和時間設定以及CA信任），則客戶端將拒絕該證書，身份驗證將失敗。ACS將在Web介面中的Reports and Activity > Failed Attempts > Failed Attempts XXX.csv下記錄失敗的身份驗證，其身份驗證失敗代碼類似於「EAP-TLS或PEAP身份驗證在SSL握手期間失敗」。 CSAuth.log檔案中預期的錯誤消息類似於以下內容。

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- 在ACS Web介面上的日誌中，在Reports and Activity > Passed Authentications > Passed Authentications XXX.csv和Reports and Activity > Failed Attempts > Failed Attempts XXX.csv下，PEAP身份驗證以<DOMAIN>\<user-id>格式顯示。EAP-TLS身份驗證以<user-id>@<domain>格式顯示。

- 要使用PEAP快速重新連線，必須在ACS伺服器和客戶端上啟用此功能。

- 如果已啟用「更改PEAP密碼」，則只有在帳戶的密碼已過期或在下次登入時將該帳戶標籤為已更改密碼時，才能更改密碼。

- 您可以按照以下步驟驗證ACS伺服器的證書和信任。

1. 使用具有管理員許可權的帳戶登入ACS伺服器上的Windows。轉至開始>運行，鍵入mmc，然後按一下確定，開啟Microsoft管理控制檯。

2. 在選單欄上，轉到控制檯>新增/刪除管理單元，然後按一下新增。

3. 選擇Certificates，然後按一下Add。

4. 選擇Computer account，按一下Next，然後選擇Local computer（運行此控制檯的電腦）。

5. 按一下Finish，按一下Close，然後按一下OK。

6. 要驗證ACS伺服器是否具有有效的伺服器端證書，請轉至Console Root > Certificates(Local Computer)> ACSCertStore > Certificates。驗證ACS伺服器（在本示例中命名為OurACS）是否存在證書。 開啟證書並驗證以下專案。

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 該證書用於 — 確保遠端電腦的身份。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

- "您有一個與此證書對應的私鑰。"

7. 在Details（詳細資訊）頁籤上，驗證Version（版本）欄位的值為V3,Enhanced Key Usage（增強型金鑰用法）欄位是否具有Server Authentication(1.3.6.1.5.5.7.3.1)。

8. 要驗證ACS伺服器是否信任CA伺服器，請轉到控制檯根>證書（本地電腦）>受信任的根證書頒發機構>證書。確認CA伺服器是否有憑證（在本範例中命名為Our TAC CA）。 開啟證書並驗證以下專案。

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 證書的預期用途正確。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

如果ACS和客戶端未使用相同的根CA，則驗證是否已安裝整個CA伺服器證書鏈。如果憑證是從次級憑證授權機構獲得的，則同樣適用。

- 您可以按照以下步驟驗證客戶端的信任。

1. 使用客戶端的帳戶登入到無線客戶端上的Windows。轉至開始>運行，鍵入mmc，然後按一下確定，開啟Microsoft管理控制檯。

2. 在選單欄上，轉到控制檯>新增/刪除管理單元，然後按一下新增。

3. 選擇Certificates，然後按一下Add。

4. 按一下「Close」，然後按一下「OK」。

5. 要驗證客戶端的配置檔案是否信任CA伺服器，請轉到Console Root > Certificates - Current User > Trusted Root Certification Authorities > Certificates。確認CA伺服器是否有憑證（在本範例中命名為Our TAC CA）。 開啟證書並驗證以下專案。

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 證書的預期用途正確。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

如果ACS和客戶端未使用相同的根CA，則驗證是否已安裝整個CA伺服器證書鏈。如果憑證是從次級憑證授權機構獲得的，則同樣適用。

- 按照配置Cisco Secure ACS for Windows v3.2一節中的說明驗證ACS設定。

- 按照配置Cisco接入點一節中的說明驗證AP設定。

- 按照配置無線客戶端一節中的說明驗證無線客戶端設定。

- 驗證AAA伺服器的內部資料庫或配置的外部資料庫之一是否存在該使用者帳戶。請確保帳戶未被禁用。

相關資訊

- Cisco Secure ACS for Windows支援頁

- 無線LAN網路的EAP-TLS部署指南

- 獲取適用於Windows的Cisco Secure ACS的版本和AAA調試資訊

- 技術支援 - Cisco Systems