目次

はじめに

前提条件

要件

使用するコンポーネント

背景理論

表記法

ネットワーク図

設定 Cisco Secure ACS for Windows v3.2

ACS サーバ用の証明書を取得する

ストレージから証明書を使用するよう ACS を設定する

ACS が信頼する必要のある追加の認証局を指定する

サービスを再開し、ACS の PEAP 設定を行って下さい

アクセス ポイントを AAA クライアントとして指定および設定する

外部ユーザ データベースを設定する

サービスを再起動する

Ciscoアクセスポイントを設定して下さい

無線クライアントの設定

MS 証明書 マシン 自動登録を設定して下さい

ドメインに参加する

Windows クライアントでルート証明書を手動でインストールする

ワイヤレス ネットワーキングを設定する

確認

トラブルシューティング

関連情報

はじめに

この資料に Cisco Secure ACS for Windows バージョン 3.2 で Protected Extensible Authentication Protocol （PEAP）を設定する方法を示されています。

ワイヤレス LAN コントローラを使用してセキュア ワイヤレスアクセスを、Microsoft Windows 2003 ソフトウェア設定する方法に関する詳細についてはおよび Cisco Secure Access Control Server （ACS） 4.0 は ACS 4.0 および Windows 2003 が付いている Unified Wireless Network の下で、PEAP を示します。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

- Cisco Secure ACS for Windows バージョン 3.2

- Microsoft Certificate Services（エンタプライズのルート証明機関 [CA] としてインストールされている）

注: 詳細については、認証局のセットアップに関する手順ガイド を参照してください。

- Service Pack 3 をインストールした Windows 2000 Server を使った DNS サービス

注: CA サーバの問題が発生した場合は、ホットフィックス 323172 をインストールします。 Windows 2000 SP3 クライアントでは、ホットフィックス 313664 を適用しないと IEEE 802.1x 認証を有効にできません。

- Cisco Aironet 1200 シリーズ Wireless Access Point 12.01T

- Service Pack 1 を適用済みの Windows XP Professional を実行する IBM ThinkPad T30

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 対象のネットワークが実稼働中である場合には、どのような作業についても、その潜在的な影響について確実に理解しておく必要があります。

背景理論

PEAP と EAP-TLS は両方とも TLS/Secure Socket Layer（SSL）トンネルを構築して、使用します。 PEAP はサーバ側の認証だけ使用します; サーバだけが証明書を所有し、その ID をクライアントに証明します。 しかし EAP-TLS では、ACS（Authentication, Authorization, and Accounting（AAA; 認証、認可、およびアカウンティング））サーバとクライアントの両方が証明書を用意し、相互に ID を証明する相互認証を使用します。

PEAP はクライアントが証明書を必要としないので便利です。 EAP-TLS は、証明書がユーザからのインタラクションを必要とないため、認証を行うヘッドレス デバイスでは有用です。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

ネットワーク図

このドキュメントでは次の図に示すネットワーク構成を使用しています。

設定 Cisco Secure ACS for Windows v3.2

ACS 3.2 を設定するために次の手順に従って下さい。

1. ACS サーバ用の証明書を取得する。

2. ストレージから証明書を使用するよう ACS を設定する。

3. ACS が信頼する必要のある追加の認証局を指定する。

4. サービスを再起動し、ACS での EAP-TLS 設定を構成する。

5. アクセス ポイントを AAA クライアントとして指定および設定する。

6. 外部ユーザ データベースを設定する。

7. サービスを再起動する。

ACS サーバ用の証明書を取得する

証明書を取得するには、次のステップに従います。

1. ACS サーバで、Webブラウザを開き、CA サーバにアドレスバーで http:// CA IPaddress/certsrv を入力することによって参照して下さい。 Administrator としてドメインにログインします。

2. [Request a certificate] を選択してから [Next] をクリックします。

3. [Advanced request] を選択してから [Next] をクリックします。

4. [Submit a certificate request to this CA using a form] を選択してから [Next] をクリックします。

5. 証明書のオプションを設定します。

1. 証明書のテンプレートとして『Web Server』 を選択 して下さい。 ACS サーバの名前を入力します。

2. 鍵のサイズを 1024 に設定します。 オプションをマーク キーにエクスポート可能として選択し、ローカル コンピューター ストアを使用して下さい。 必要に応じてその他のオプションを設定し、[Submit] をクリックします。

注: （ブラウザのセキュリティ/プライバシー設定に応じて）スクリプト違反を通知する警告ウィンドウが表示された場合は、Yes をクリックして継続します。

6. [Install this certificate] をクリックします。

注: （ブラウザのセキュリティ/プライバシー設定に応じて）スクリプト違反を通知する警告ウィンドウが表示された場合は、Yes をクリックして継続します。

7. インストールに成功した場合は、確認メッセージが表示されます。

ストレージから証明書を使用するよう ACS を設定する

ストレージにある証明書を使用するよう ACS を設定するには、次のステップに従います。

1. Webブラウザを開き、ACS サーバにアドレスバーで http:// ACS IPaddress:2002/ を入力することによって参照して下さい。 [System Configuration] をクリックし、[ACS Certificate Setup] をクリックします。

2. [Install ACS Certificate] をクリックします。

3. 『Use certificate from storage』 を選択 して下さい。 Certificate CN フィールドでは、セクションのステップ 5a で得る ACS サーバのための証明書を割り当てた証明書の名前を入力して下さい。 [Submit] をクリックします。

このエントリは高度 Certificate 要求の間に Name フィールドに打ち込んだ名前を一致する必要があります。 それはサーバ証明の Subject フィールドの CN 名前です; この名前があるように確認するためにサーバ証明を編集できます。 この例では、この名前は「OurACS」です。 発行者の CN 名は入力しないでください。

4. 設定が完了するとき、確認のメッセージが ACS サーバの設定が変更されたことを示すことを表示されます。

注: この時点では ACS を再起動する必要はありません。

ACS が信頼する必要のある追加の認証局を指定する

ACS は自動的に自身の証明書を発行した CA を承認します。 クライアントの証明書が追加の CA により発行された場合は、次のステップを完了する必要があります。

1. [System Configuration] をクリックし、[ACS Certificate Setup] をクリックします。

2. ACS Certificate Authority Setup をクリックして、信頼された証明書のリストに CA を追加します。 CA 証明書ファイル用のフィールドに証明書の場所を入力し、[Submit] をクリックします。

3. [Edit Certificate Trust List] をクリックします。 ACS が信頼するすべての CA にチェック マークを付け、ACS が信頼しないすべての CA のチェック マークを外します。 [Submit] をクリックします。

サービスを再開し、ACS の PEAP 設定を行って下さい

サービスを再開し、PEAP 設定を行うために次の手順に従って下さい。

1. [System Configuration] をクリックし、[Service Control] をクリックします。

2. Restart をクリックしてサービスを再起動します。

3. PEAP 設定を行うために、『System Configuration』 をクリック し、次に『Global Authentication Setup』 をクリック して下さい。

4. 次に示す 2 つの設定をチェックし、その他の設定をデフォルトのままにします。 必要に応じて、Enable Fast Reconnect などの追加設定を設定できます。 終了したら、『SUBMIT』 をクリック して下さい。

- Allow EAP-MSCHAPv2

- Allow MS-CHAP Version 2 Authentication

注: Fast Connect の詳細については、『システム設定： 認証と証明書』の「認証設定オプション」を参照してください。

アクセス ポイントを AAA クライアントとして指定および設定する

アクセス ポイント（AP）を AAA クライアントとして設定するには、次のステップに従います。

1. [Network Configuration] をクリックします。 [AAA Clients] で、[Add Entry] をクリックします。

2. AAA Client Hostname フィールドに AP のホスト名を入力し、AAA Client IP Address フィールドにその IP アドレスを入力します。 Key フィールドに、ACS と AP 用の共有秘密鍵を入力します。 認証方式として（Cisco Aironet） 『RADIUS』 を選択 して下さい。 終了したら、『SUBMIT』 をクリック して下さい。

外部ユーザ データベースを設定する

外部ユーザ データベースを設定するには、次のステップに従います。

注: ACS だけ 3.2 Windows データベースにマシン認証を用いる PEAP-MS-CHAPv2 をサポートします。

1. [External User Databases] をクリックし、[Database Configuration] をクリックします。 [Windows Database] をクリックします。

注: 定義済みの Windows データベースがない場合は、[Create New Configuration] をクリックしてから [Submit] をクリックします。

2. [Configure] をクリックします。 Configure Domain List の下で、SEC-SYD ドメインを、Available Domains から Domain List へ移動させます。

3. マシン認証を、Windows EAP 設定の下で有効に するために割り当て PEAP マシン認証にオプションをチェックして下さい。 マシン認証名のプレフィックスを変更しないでください。 Microsoft では現在、「/host」（デフォルト値）を使用して、ユーザ認証とマシン認証を区別しています。 必要があれば、Permit password change inside PEAP のオプションをチェックします。 終了したら、『SUBMIT』 をクリック して下さい。

4. [External User Databases] をクリックし、[Unknown User Policy] をクリックします。 オプションをチェックに次の外部ユーザデータベース選択し、そして外部データベースからの選択したデータベースに Move ウィンドウ データベースに右矢印 ボタンを（- >）使用して下さい。 終了したら、『SUBMIT』 をクリック して下さい。

サービスを再起動する

ACS を設定することを終わったらサービスを再開するために次の手順に従って下さい。

1. [System Configuration] をクリックし、[Service Control] をクリックします。

2. [Restart] をクリックします。

Ciscoアクセスポイントを設定して下さい

AP を設定し、認証サーバとして ACS を使用するには、次のステップに従います。

1. Webブラウザを開き、AP にアドレスバーで http:// AP IPaddress/certsrv を入力することによって参照して下さい。 ツールバーで [Setup] をクリックします。

2. サービスの下で、『Security』 をクリック して下さい。

3. Authentication Server をクリックします。

注: AP でアカウントを設定している場合は、ログインする必要があります。

4. 認証者の設定を入力します。

- 802.1X プロトコル バージョンに 802.1x-2001 を選択して下さい（EAP 認証のために）。

- Server Name/IP フィールドに ACS サーバの IP アドレスを入力します。

- サーバタイプとして『RADIUS』 を選択 して下さい。

- [Port] フィールドに 1645 または 1812 と入力します。

- アクセス ポイントを AAA クライアントとして指定および設定するのステップ 2 で指定した共有秘密鍵を入力します。

- EAP Authentication のオプションをチェックして、サーバをどのように使用する必要があるかを指定します。

終了したら、[OK] をクリックします。

5. [Radio Data Encryption (WEP)] をクリックします。

6. 内部データ暗号化設定を入力します。

- データ暗号化のレベルを設定 するために完全な暗号化を選択して下さい。

- 暗号化キーを入力し、ブロードキャスト キーとして使用するようにキー サイズを 128 ビットに設定します。

終了したら、[OK] をクリックします。

7. 終了したら使用している確認し、『OK』 をクリック して下さいことを Network > Service Sets > Select the SSID Idx へ行くことによって正しいサービス セット ID（SSID）をことを。

例は下記の示したものですデフォルトSSID 「tsunami」。を

無線クライアントの設定

ACS 3.2 を設定するために次の手順に従って下さい。

1. MS 証明書のマシン自動登録を設定する。

2. ドメインに参加する。

3. Windows クライアントで、ルート証明書を手動インストールする。

4. ワイヤレス ネットワーキングを設定する。

MS 証明書 マシン 自動登録を設定して下さい

ドメイン コントローラの Kant 自動マシン 証明書登録のためのドメインを設定するために次の手順に従って下さい。

1. [Start] > [Settings] > [Control Panel] > [Administrative Tools] に移動し、Active Directory ユーザおよびコンピュータを開きます。

2. domain sec-syd を右クリックし、サブメニューから『Properties』 を選択 して下さい。

3. Group Policy タブを選択します。 Default Domain Policy をクリックしてから Edit をクリックします。

4. [Computer Configuration] > [Windows Settings] > [Security Settings] > [Public Key Policies] > [Automatic Certificate Request Settings] に移動します。

5. メニュー・バーで、Action > New > Automatic Certificate Request and click Next に行って下さい。

6. 『Computer』 を選択 し、『Next』 をクリック して下さい。

7. CA をチェックします。

この例では、CA は「Our TAC CA」という名前です。

8. [Next] をクリックし、次に [Finish] をクリックします。

ドメインに参加する

無線クライアントをドメインに追加するには、次のステップに従います。

注: これらのステップを完了するために、無線クライアントは有線接続または無効に なる 802.1X セキュリティの無線接続によって CA に接続が、なければなりません。

1. ローカル管理者として Windows XP にログインします。

2. [Control Panel] > [Performance and Maintenance] > [System] を選択します。

3. Computer Name タブを選択し、次に『Change』 をクリック して下さい。 コンピュータ名のフィールドにホスト名を入力します。 『Domain』 を選択 し、次にドメイン（この例の SEC-SYD）の名前を入力して下さい。 [OK] をクリックします。

4. ログイン ダイアログが表示されるとき、ドメインに加入する権限があるアカウントとのログオンによってドメインに加入して下さい。

5. コンピュータがドメインへの参加に成功したら、コンピュータを再起動します。 マシンはドメインのメンバーです; マシン 自動登録を設定したので、マシンはインストールされた CA のための証明書、またマシン認証のための証明書を備えています。

Windows クライアントでルート証明書を手動でインストールする

ルート証明書を手動でインストールするには、次のステップを実行します。

注:  machine autoenrollment の設定がすでに終了している場合、このステップは不要です。 ワイヤレスネットワーキングを設定するためにスキップして下さい。

1. Windows クライアントマシンで、Webブラウザを開き、Microsoft CA サーバにアドレスバーで http:// ルート CA IPaddress/certsrv を入力することによって参照して下さい。 CA サイトにログインします。

この例では、CA の IP アドレスは 10.66.79.241 です。

2. CA 認証か Certification Revocation List を『Retrieve』 を選択 し、『Next』 をクリック して下さい。

3. Download CA certificate をクリックして、証明書をローカル マシンに保存します。

4. 証明書を開き、『install certificate』 をクリック して下さい。

注: 次の例では、左上のアイコンが、証明書がまだ信頼されていないことを示しています（インストール済み）。

5. Current User/ Trusted Root Certificate Authorities に証明書をインストールします。

1. [Next] をクリックします。

2. 選り抜き証明書の種類に基づいて証明書 ストアを自動的に選択し、『Next』 をクリック して下さい。

3. Finish をクリックすると、Current User/ Trusted Root Certificate Authorities の下に、ルート証明書が自動的に保存されます。

ワイヤレス ネットワーキングを設定する

無線ネットワークのオプションを設定するには、次のステップに従います。

1. ドメイン ユーザとしてドメインにログインします。

2. [Control Panel] > [Network and Internet Connections] > [Network Connections] に進みます。 無線接続を右クリックし、表示されるサブメニューから『Properties』 を選択 して下さい。

3. Wireless Networks タブを選択して下さい。 無線ネットワークを（AP の SSID 名前を使用して表示される）利用可能なネットワークのリストから選択し、次に『Configure』 をクリック して下さい。

4. Network Properties Window の Authentication タブで、このネットワークのイネーブル IEEE 802.1x 認証があるようにオプションを確認して下さい。 EAP のタイプに関しては、EAP type の Protected EAP (PEAP) を選択してから、Properties をクリックします。

注: コンピュータ 情報が利用できるときマシン認証を有効に するために、コンピュータとして認証するがあるようにオプションを確認して下さい。

5. Validate server certificate をチェックしてから、PEAP クライアントと ACS デバイスが使用するエンタープライズ用ルート CA をチェックします。 セキュア パスワード（EAP-MSCHAP v2）を認証方式に選択し、次に『Configure』 をクリック して下さい。

この例では、ルート CA は「Our TAC CA」という名前です。

6. 単一 サインオンを有効に するために、自動的にあるようにオプションを使用します Windows ログオン名およびパスワード確認して下さい（およびドメイン）を。 OK をクリックしてこの設定を受け入れてから、再度 OK をクリックして、Network Properties ウィンドウに戻ります。

PEAP のための単一 サインオンによって、クライアントは PEAP 認証のために Windows ログオン名を使用します、従ってユーザは二回目パスワードを入力する必要はありません。

7. Network Properties Window の Association タブで、データ暗号化（有効に なる WEP）があるようにオプションを確認すればキーは私に自動的に提供されます。 OK をクリックしてから再度 OK をクリックして、ネットワーク設定のウィンドウを閉じます。

確認

このセクションでは、設定が正常に動作しているかどうかを確認する際に役立つ情報を提供しています。

- 、無線クライアントが認証された無線クライアントでことを確認することは Control Panel > Network and Internet Connections > Network Connections に行きます。 メニュー バーで [View] > [Tiles] に移動します。 無線接続はメッセージ「成功する認証表示する必要があります」。を

- 、無線クライアントが認証された ACS Webインターフェイスでことを確認することは Reports and Activity > Passed Authentications > Passed Authentications active.csv に行きます。

トラブルシューティング

ここでは、設定のトラブルシューティングに役立つ情報について説明します。

- MS 認証 サービスがインストールされていた後 MS 認証 サービスがサービスパック 3.ホットフィックス 323172 および 313664 が付いている Windows 2000 新型サーバでエンタープライズ ルートCA としてインストールする必要があるインストールされていたことを確認して下さい。 MS 証明書サービスを再インストールした場合、ホットフィックス 323172 も再インストールする必要があります。

- Windows 2000（Service Pack 3）とともに Cisco Secure ACS for Windows バージョン 3.2 を使用していること確認します。 ホットフィックス 323172 と 313664 がインストールされていることを確認してください。

- 無線クライアント上でマシン認証が失敗する場合は、無線接続でネットワーク接続が存在しません。 プロファイルが無線クライアント上にキャッシュされているアカウントだけが、ドメインにログインできます。 マシンは 802.1X セキュリティ無しで無線接続のための有線ネットワークかセットにプラグを差し込まれる必要があります。

- ドメインに参加する際に CA への自動登録が失敗する場合は、Event Viewer を確認して考えられる理由を調べます。 ラップトップの DNS 設定をチェックすることを試みて下さい。

- ACS の証明書がクライアントに拒否された（証明書の有効な「from」および「to」の日付、クライアントの日付と時刻の設定、および CA の信頼性に依存）場合、クライアントはその証明書を拒否し、認証が失敗します。 ACS は失敗した認証を Web インターフェイスの [Reports and Activity] > [Failed Attempts] > [Failed Attempts XXX.csv] に記録します。これは、たとえば「EAP-TLS or PEAP authentication failed during SSL handshake」のような認証失敗コードで記録されます。 CSAuth.log ファイルの期待されたエラー メッセージは次に類似したです。

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- では両方のレポートの下で ACS Webインターフェイスを、ログオンし、アクティビティ > 取得された認証 > 取得された認証 XXX.csv および Reportsand アクティビティ > 失敗した試行 > 失敗した試行 XXX.csv は形式 <DOMAIN> \ <user-id> で、PEAP 認証示されています。 EAP-TLS 認証は形式 <user-id>@<domain> で示されています。

- PEAP ファーストを使用するために再接続して下さい、ACS サーバおよびクライアント両方のこの機能を有効に して下さい。

- PEAP パスワードの変更がイネーブルの場合、アカウントのパスワードの期限が切れたか、次回ログイン時にパスワードを変更するようにアカウントがマーキングされている場合にだけ、パスワードの変更が可能です。

- 次のステップに従うことで、ACS サーバの証明書と信頼性を確認できます。

1. Administrator の特権を持つアカウントを使用して、ACS サーバで Windows にログインします。 [Start] > [Run] に移動し、mmc と入力して [OK] をクリックします。これにより、Microsoft 管理コンソールが開きます。

2. メニュー バーで、[Console] > [Add/Remove Snap-in] に移動し、[Add] をクリックします。

3. [Certificates] を選択し、[Add] をクリックします。

4. [Computer account] を選択してから [Next] をクリックし、[Local computer] (このコンソールが実行されているコンピュータ) を選択します。

5. [Finish]、[Close]、[OK] の順にクリックします。

6. ACS サーバに有効なサーバ側の証明書があることを確認するために、Console Root > Certificates （Local Computer） > ACSCertStore > Certificates に行って下さい。 ACS サーバ（この例のネームド OurACS）のための証明書があることを確認して下さい。 証明書を開き、次の項目を確認します。

- すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

- 信頼されていない証明書に関する警告が存在しない。

- 「This certificate is intended to - Ensures the identity of a remote computer.」というメッセージが存在する。

- 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

- 「You have a private key that corresponds to this certificate.」というメッセージが存在する。

7. Details タブで、Version フィールドの値が V3 で、Enhanced Key Usage フィールドは Server Authentication (1.3.6.1.5.5.7.3.1) となっていること確認します。

8. ACS サーバが CA サーバを信頼することを確認するために、Console Root > Certificates （Local Computer） > Trusted Root Certification Authorities > Certificates に行って下さい。 CA サーバ用の証明書があることを確認します（この例の名前は「Our TAC CA」）。 証明書を開き、次の項目を確認します。

- すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

- 信頼されていない証明書に関する警告が存在しない。

- 証明書の使用目的が正しい。

- 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

ACS とクライアントが同じルート CA を使用していなかった場合は、CA サーバの証明書連鎖が完全にインストールされていることを確認します。 証明書が下位証明機関から取得された場合も、同じことが当てはまります。

- 下記のステップに従うことによってクライアントの信頼を確認できます。

1. クライアントのアカウントを使って、無線クライアントの Windows にログインします。 [Start] > [Run] に移動し、mmc と入力して [OK] をクリックします。これにより、Microsoft 管理コンソールが開きます。

2. メニュー バーで、[Console] > [Add/Remove Snap-in] に移動し、[Add] をクリックします。

3. [Certificates] を選択し、[Add] をクリックします。

4. Close をクリックしてから、OK をクリックします。

5. クライアントのプロファイルが CA サーバを信頼することを確認するために、Console Root > Certificates - Current User > Trusted Root Certification Authorities > Certificates に行って下さい。 CA サーバ用の証明書があることを確認します（この例の名前は「Our TAC CA」）。 証明書を開き、次の項目を確認します。

- すべての使用目的に関して検証されていない証明書に関する警告が存在しない。

- 信頼されていない証明書に関する警告が存在しない。

- 証明書の使用目的が正しい。

- 証明書は期限切れになっておらず、また有効になっている（有効な「from」および「to」の日付を確認）。

ACS とクライアントが同じルート CA を使用していなかった場合は、CA サーバの証明書連鎖が完全にインストールされていることを確認します。 証明書が下位証明機関から取得された場合も、同じことが当てはまります。

- Cisco Secure ACS for Windows v3.2 の設定のセクションに記述されているように ACS 設定を確認して下さい。

- Ciscoアクセスポイントの設定のセクションに記述されているように AP 設定を確認して下さい。

- 無線クライアントの設定のセクションに記述されているように無線クライアント設定を確認して下さい。

- ことを AAAサーバのまたは設定された外部データベースの 1 つの内部 データベースで存在 する ユーザアカウント確認して下さい。 そのアカウントが無効になっていないことを確認します。

関連情報

- Cisco Secure ACS for Windows に関するサポート ページ

- ワイヤレス LAN ネットワークへの EAP-TLS の導入ガイド

- Cisco Secure ACS for Windows のバージョン情報および AAA デバッグ情報の取得

- テクニカルサポート - Cisco Systems