Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Conventies

Netwerkdiagram

Cisco Secure ACS voor Windows v3.2 configureren

Een certificaat voor de ACS-server verkrijgen

ACS configureren voor gebruik van een opslagcertificaat

Specificeer aanvullende certificeringsinstanties die de ACS moeten vertrouwen

Start de service opnieuw en stel PEAP-instellingen in voor de ACS

Het access point als een AAA-client specificeren en configureren

De externe gebruikersdatabases configureren

Start de service opnieuw

Cisco access point configureren

De draadloze client configureren

Instellen van een MS-certificaatmachineverklaring

Join the Domain

Installeer het wortelcertificaat handmatig op de Windows-client

De draadloze netwerken configureren

Verifiëren

Problemen oplossen

Gerelateerde informatie

Inleiding

Dit document toont aan hoe u het Protected Extensible Authentication Protocol (PEAP) kunt configureren met Cisco Secure ACS voor Windows versie 3.2.

Voor meer informatie over het configureren van beveiligde draadloze toegang via draadloze LAN-controllers, verwijzen Microsoft Windows 2003-software en Cisco Secure Access Control Server (ACS) 4.0 naar PEAP onder Unified Wireless Networks met ACS 4.0 en Windows 2003.

Voorwaarden

Vereisten

Er zijn geen specifieke voorwaarden van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de onderstaande software- en hardwareversies.

- Cisco Secure ACS voor Windows versie 3.2

- Microsoft certificaatservices (geïnstalleerd als autoriteit voor Enterprise root [CA])

Opmerking: Raadpleeg voor meer informatie de stapsgewijze gids voor het instellen van een certificeringsinstantie .

- DNS-service met Windows 2000-server met Service Pack 3

Opmerking: Als u CA Server-problemen ondervindt, installeert u hotfix 323172 . De Windows 2000 SP3-client vereist hotfix 313664 om IEEE 802.1x-verificatie in te schakelen.

- Cisco Aironet 1200 Series draadloos access point 12.01T

- IBM ThinkPad T30 met Windows XP Professional met Service Pack 1

De informatie in dit document is gebaseerd op apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als u in een levend netwerk werkt, zorg er dan voor dat u de potentiële impact van om het even welke opdracht begrijpt alvorens het te gebruiken.

Achtergrondinformatie

Zowel PEAP als EAP-TLS bouwen en gebruiken een TLS/Secure Socket Layer (SSL)-tunnel. PEAP gebruikt alleen verificatie aan serverzijde; alleen de server heeft een certificaat en bewijst zijn identiteit aan de cliënt . EAP-TLS gebruikt echter wederzijdse authenticatie waarbij zowel de ACS-server (authenticatie, autorisatie en accounting [AAA]) als de klanten certificaten hebben en hun identiteit aan elkaar bewijzen.

PEAP is handig omdat klanten geen certificaten nodig hebben. EAP-TLS is handig om koploze apparaten te authentiseren, omdat certificaten geen gebruikersinteractie vereisen.

Conventies

Zie de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Netwerkdiagram

Dit document gebruikt de netwerkinstellingen die in het onderstaande schema zijn weergegeven.

Cisco Secure ACS voor Windows v3.2 configureren

Volg deze stappen om ACS 3.2 te configureren.

1. Verkrijg een certificaat voor de ACS server.

2. ACS configureren om een opslagcertificaat te gebruiken.

3. Specificeer aanvullende certificeringsinstanties die de ACS moeten vertrouwen.

4. Start de service opnieuw en stel PEAP-instellingen in op de ACS.

5. Specificeer en configureren het access point als een AAA-client.

6. Het configureren van de externe gebruikersdatabases.

7. Start de service opnieuw.

Een certificaat voor de ACS-server verkrijgen

Volg deze stappen om een certificaat te verkrijgen.

1. Open op de ACS-server een webbrowser en blader naar de CA-server door http:// CA-ip-adres/certsrv in de adresbalk in te voeren. Meld u aan bij het domein als beheerder.

2. Selecteer Een certificaat aanvragen en klik vervolgens op Volgende.

3. Selecteer Geavanceerd verzoek en klik vervolgens op Volgende.

4. Selecteer een certificaataanvraag bij deze CA indienen met behulp van een formulier en klik vervolgens op Volgende.

5. Configuratie van de certificeringsopties.

1. Selecteer Web Server als de certificaatsjabloon. Voer de naam van de ACS-server in.

2. Stel de sleutelgrootte in op 1024. Selecteer de opties voor Toetsen als exporteerbaar en gebruik de lokale machinewinkel. Configureer de gewenste opties en klik vervolgens op Indienen.

Opmerking: Als u een waarschuwingsvenster ziet dat verwijst naar een schending van het schrift (afhankelijk van de beveiligingsinstellingen/de privacy van uw browser), klikt u op Ja om door te gaan.

6. Klik op Installeer dit certificaat.

Opmerking: Als u een waarschuwingsvenster ziet dat verwijst naar een schending van het schrift (afhankelijk van de beveiligingsinstellingen/de privacy van uw browser), klikt u op Ja om door te gaan.

7. Als de installatie is geslaagd, ontvangt u een bevestigingsbericht.

ACS configureren voor gebruik van een opslagcertificaat

Volg deze stappen om ACS te configureren om het opgeslagen certificaat te gebruiken.

1. Open een webbrowser en blader naar de ACS-server door http:// ACS-ip-adres in te voeren:2002/ in de adresbalk. Klik op System Configuration en vervolgens op ACS-certificaatinstelling.

2. Klik op ACS-certificaat installeren.

3. Selecteer FineReader-certificaat gebruiken tijdens opslag. Voer in het veld certificaatGN in de naam van het certificaat dat u in stap 5a van de sectie hebt toegewezen, een certificaat voor de ACS-server in. Klik op Inzenden.

Deze ingang moet de naam overeenkomen die u in het veld Naam hebt getypt tijdens de geavanceerde certificaataanvraag. Het is de GN-naam in het onderwerpveld van het servercertificaat; U kunt het servercertificaat bewerken om deze naam te controleren. In dit voorbeeld is de naam "OurACS". Voer geen GN-naam van de uitgevende instelling in.

4. Wanneer de configuratie is voltooid, ziet u een bevestigingsbericht dat aangeeft dat de configuratie van de ACS-server is gewijzigd.

Opmerking: U hoeft het ACS-systeem op dit moment niet opnieuw te starten.

Specificeer aanvullende certificeringsinstanties die de ACS moeten vertrouwen

ACS zal automatisch vertrouwen hebben in de CA die haar eigen certificaat heeft afgegeven. Als de client-certificaten zijn afgegeven door extra CA’s moet u de volgende stappen uitvoeren.

1. Klik op System Configuration en vervolgens op ACS-certificaatinstelling.

2. Klik op ACS certificaatinstelling om CA’s aan de lijst van vertrouwde certificaten toe te voegen. Typ in het veld voor CA-certificaatbestand de locatie van het certificaat en klik vervolgens op Inzenden.

3. Klik op certificaatlijst bewerken. Controleer alle CA’s die de ACS moeten vertrouwen en verwijder alle CA’s die de ACS niet moeten vertrouwen. Klik op Inzenden.

Start de service opnieuw en stel PEAP-instellingen in voor de ACS

Volg deze stappen om de service opnieuw te starten en de PEAP-instellingen te configureren.

1. Klik op System Configuration en vervolgens op Service Control.

2. Klik op Start opnieuw om de service te hervatten.

3. Als u PEAP-instellingen wilt configureren klikt u op System Configuration en vervolgens klikt u op Global Authentication Setup.

4. Controleer de twee onderstaande instellingen en laat alle andere instellingen standaard staan. Als u wilt, kunt u extra instellingen instellen, zoals Snel opnieuw aansluiten inschakelen. Klik op Inzenden als u klaar bent.

- Toestaan van EAP-MSCHAPv2

- Laat MS-CHAP versie 2 verificatie toe

N.B.: Raadpleeg voor meer informatie over Fast Connect "Verificatieopties" in systeemconfiguratie: Verificatie en certificaten.

Het access point als een AAA-client specificeren en configureren

Volg deze stappen om het access point (AP) als een AAA-client te configureren.

1. Klik op Netwerkconfiguratie. Klik onder AAA-clients op Toevoegen.

2. Voer de hostnaam van AP in in het veld AAA-clientnaam en het IP-adres in het veld AAA-client-IP. Voer een gedeelde geheime sleutel in voor ACS en AP in het veld Key. Selecteer RADIUS (Cisco Aironet) als de verificatiemethode. Klik op Inzenden als u klaar bent.

De externe gebruikersdatabases configureren

Volg deze stappen om de externe gebruikersdatabases te configureren.

Opmerking: Alleen ACS 3.2 ondersteunt PEAP-MS-CHAPv2 met automatische authenticatie aan een Windows database.

1. Klik op Externe gebruiker-databases en klik vervolgens op Databaseconconfiguratie. Klik op Windows database.

N.B.: Als er nog geen Windows-database is gedefinieerd, klikt u op Nieuwe configuratie maken en vervolgens klikt u op Indienen.

2. Klik op Configureren. Verplaats onder Domain List configureren het domein SEC-SYD van Beschikbare domeinen naar Domain List.

3. Om machine-verificatie mogelijk te maken, controleert u onder Windows EAP-instellingen de optie om PEAP-automaat-verificatie toe te staan. Wijzig het voorvoegsel van de naam van de machineverantwoording niet. Microsoft gebruikt momenteel "/host" (de standaardwaarde) om onderscheid te maken tussen gebruiker- en machine-verificatie. Als u wilt, controleer dan de optie voor Wachtwoordwijziging toestaan binnen PEAP. Klik op Inzenden als u klaar bent.

4. Klik op Externe gebruiker-databases en vervolgens op Onbekend gebruikersbeleid. Selecteer de optie om de volgende externe gebruikersdatabases te controleren, en gebruik vervolgens de knop pijltje rechts ( -> ) om Windows Database van externe databases naar geselecteerde databases te verplaatsen. Klik op Inzenden als u klaar bent.

Start de service opnieuw

Nadat u de ACS hebt configureren, volgt u deze stappen om de service opnieuw te starten.

1. Klik op System Configuration en vervolgens op Service Control.

2. Klik op Opnieuw beginnen.

Cisco access point configureren

Volg deze stappen om AP te vormen om ACS als de authenticatieserver te gebruiken.

1. Open een webbrowser en blader naar de AP door http:// AP-ip-adres/certsrv in de adresbalk in te voeren. Klik in de werkbalk op Instellen.

2. Klik onder Services op Security.

3. Klik op Verificatieserver.

Opmerking: Als u rekeningen op de AP hebt ingesteld, moet u inloggen.

4. Voer de configuratie-instellingen van de authenticator in.

- Selecteer 802.1x-2001 voor de 802.1x Protocol versie (voor EAP-verificatie).

- Voer het IP-adres van de ACS-server in het veld Naam/IP-server van de server in.

- Selecteer RADIUS als het servertype.

- Typ 1645 of 1812 in het veld Port.

- Voer de gedeelde geheime sleutel in die u in stap 2 van Specificeer en Configureer het access point als een AAA-client hebt ingesteld.

- Controleer de optie voor EAP-verificatie om aan te geven hoe de server gebruikt moet worden.

Klik na voltooiing op OK.

5. Klik op Radio Data Encryption (EFN).

6. Voer de instellingen voor interne gegevensencryptie in.

- Selecteer Full Encryption om het niveau van gegevensencryptie in te stellen.

- Voer een encryptiesleutel in en stel de sleutelgrootte in op 128 bit om als uitzending-sleutel te worden gebruikt.

Klik na voltooiing op OK.

7. Bevestig dat u de juiste Service Set Identifier (SSID) gebruikt door naar Network > Service ets te gaan > de SSID Idx selecteren en op OK klikken wanneer u klaar bent.

Het onderstaande voorbeeld toont de standaard 'tsunami' van SSID.

De draadloze client configureren

Volg deze stappen om ACS 3.2 te configureren.

1. Instellen van MS-certificeringsmachine.

2. Doe mee.

3. Installeer het basiscertificaat handmatig op de Windows-client.

4. Configureer het draadloze netwerk.

Instellen van een MS-certificaatmachineverklaring

Volg deze stappen om het domein voor de automatische inschrijving van het machinecertificaat op de Kant van de domeincontroller te configureren.

1. Ga naar Configuratiescherm > Gereedschappen > Actieve Map-gebruikers en computers openen.

2. Klik met de rechtermuisknop op het domein sec-syd en selecteer Eigenschappen in het submenu.

3. Selecteer het tabblad Groepsbeleid. Klik op Default Domain Policy en vervolgens op Bewerken.

4. Ga naar Computer Configuration > Windows Settings > Security Settings > Public Key Policies > Automatisch certificaataanvraag-instellingen.

5. Ga in de menu-balk naar Actie > Nieuw > Automatisch certificaataanvraag en klik op Volgende.

6. Selecteer Computer en klik op Volgende.

7. Controleer de CA.

In dit voorbeeld, wordt de CA genoemd "Onze TAC CA."

8. Klik op Volgende en vervolgens op Voltooien.

Join the Domain

Volg deze stappen om de draadloze client aan het domein toe te voegen.

Opmerking: om deze stappen te voltooien moet de draadloze client connectiviteit met de CA hebben, via een bekabelde verbinding of via de draadloze verbinding met 802.1x-beveiliging uitgeschakeld.

1. Meld u aan bij Windows XP als lokale beheerder.

2. Ga naar Configuratiescherm > Prestaties en onderhoud > Systeem.

3. Selecteer het tabblad Computer Name en klik vervolgens op Wijzigen. Voer de naam van de host in het veld voor de computernaam in. Selecteer Domain, en voer dan de naam van het domein in (SEC-SYD in dit voorbeeld). Klik op OK.

4. Wanneer een inlogdialoogvenster wordt weergegeven, sluit u zich aan bij het domein door in te loggen met een account met toestemming om zich bij het domein aan te sluiten.

5. Start de computer opnieuw op wanneer de computer is aangesloten op het domein. De machine wordt lid van het domein; aangezien wij machine auteïntegration hebben opgezet, zal de machine een certificaat voor de geïnstalleerde CA hebben en een certificaat voor machineverantwoording.

Installeer het wortelcertificaat handmatig op de Windows-client

Volg deze stappen om het basiscertificaat handmatig te installeren.

Opmerking:  Als u al een machinevergaderingsmodule hebt ingesteld, hebt u deze stap niet nodig. Sla niet over om de draadloze netwerken te configureren.

1. Open in de Windows-clientmachine een webbrowser en blader naar de Microsoft CA-server door http:// root-CA-ip-adres/certsrv in de adresbalk in te voeren. Meld u aan bij de CA-site.

In dit voorbeeld is het IP-adres van de CA 10.66.79.241.

2. Selecteer Het CA-certificaat of de certificeringslijst verwijderen en klik op Volgende.

3. Klik op CA-certificaat downloaden om het certificaat op te slaan in de lokale machine.

4. Open het certificaat en klik op Installeer het certificaat.

Opmerking: In het onderstaande voorbeeld geeft het pictogram aan de linkerbovenzijde aan dat het certificaat nog niet is vertrouwd (geïnstalleerd).

5. Installeer het certificaat aan bij de huidige gebruikers/vertrouwde instanties van de basiscertificering.

1. Klik op Volgende.

2. Selecteer Automatisch de certificaatwinkel selecteren op basis van het type certificaat en klik op Volgende.

3. Klik op Voltooien om het basiscertificaat automatisch in te stellen onder Huidige autoriteiten van Gebruiker/Trusted Root Certificate.

De draadloze netwerken configureren

Volg deze stappen om de opties voor draadloos netwerk in te stellen.

1. Meld u aan bij het domein als een domeingebruiker.

2. Ga naar Control Panel > Network and Internet Connections > Network Connections. Klik met de rechtermuisknop op Draadloze verbinding en selecteer Eigenschappen in het submenu dat wordt weergegeven.

3. Selecteer het tabblad Draadloze netwerken. Selecteer het draadloze netwerk (weergegeven met behulp van de SSID naam van de AP) uit de lijst met beschikbare netwerken en klik vervolgens op Configureren.

4. Controleer in het tabblad Verificatie van het venster netwerkeigenschappen de optie voor IEEE 802.1x-verificatie voor dit netwerk. Selecteer voor MAP-type de optie Protected EAP (PEAP) voor EAP-type en klik vervolgens op Properties.

Opmerking: Om machine-verificatie mogelijk te maken, controleert u de optie voor Verificatie als computer wanneer computerinformatie beschikbaar is.

5. Controleer servercertificaat en controleer vervolgens de basisCA voor de onderneming die door PEAP-klanten en ACS-apparaten wordt gebruikt. Selecteer Secure password (EAP-MSCHAP v2) voor de authenticatiemethode en klik op Configureren.

In dit voorbeeld, wordt de wortel CA genoemd "Onze TAC CA."

6. Als u één aanmelding wilt inschakelen, controleert u de optie Automatisch mijn Windows-aanmelding en -wachtwoord gebruiken (en eventueel het domein). Klik op OK om deze instelling te aanvaarden en vervolgens op OK om terug te keren naar het venster van de netwerkeigenschappen.

Met één aanmelding voor PEAP, gebruikt de client de naam van de Windows-aanmelding voor de PEAP-verificatie, zodat de gebruiker het wachtwoord niet een tweede keer hoeft in te voeren.

7. In het tabblad Associatie van het venster netwerkeigenschappen controleert u de opties voor gegevenscodering (met behulp van een optie voor gebruik van de optie (EFN) en de toets wordt automatisch voor mij beschikbaar gesteld. Klik op OK en vervolgens OK om het venster voor netwerkconfiguratie te sluiten.

Verifiëren

Deze sectie verschaft informatie die u kunt gebruiken om te bevestigen dat uw configuratie correct werkt.

- Om te verifiëren dat de draadloze client echt is bevonden gaat de draadloze client naar Control Panel > Network and Internet Connections > Network Connections. Ga in de menubalk naar Beeld > tegels. De draadloze verbinding moet het bericht "Verificatie geslaagd" weergeven.

- Om te verifiëren dat draadloze klanten voor authentiek zijn verklaard, ga op de ACS web interface naar Rapporten en Activiteit > Gepasseerde Verificaties > Geautomatiseerde Verificaties actief.csv.

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

- Controleer dat MS-certificaatservices zijn geïnstalleerd als Enterprise root CA op een Windows 2000 geavanceerde server met Service Pack 3. De hotfixes 323172 en 313664 moeten worden geïnstalleerd nadat MS-certificaatservices zijn geïnstalleerd. Als de MS certificaatservices opnieuw worden geïnstalleerd, moet ook hotfix 323172 opnieuw worden geïnstalleerd.

- Controleer dat u Cisco Secure ACS voor Windows versie 3.2 met Windows 2000 en Service Pack 3 gebruikt. Zorg ervoor dat er hotfixes 323172 en 313664 zijn geïnstalleerd.

- Als de machine-verificatie op de draadloze client mislukt, is er geen netwerkconnectiviteit op de draadloze verbinding. Alleen accounts met profielen die op de draadloze client zijn gecached, kunnen inloggen op het domein. De machine moet worden aangesloten op een bekabeld netwerk of worden ingesteld voor draadloze aansluiting zonder 802.1x-beveiliging.

- Als de automatische inschrijving met de CA mislukt bij het toetreden tot het domein, controleer dan het venster voor gebeurtenis om mogelijke redenen. Probeer de DNS-instellingen op de laptop te controleren.

- Als het ACS-certificaat door de cliënt wordt verworpen (dat afhangt van de geldige data van het certificaat, van de datum en de tijd van de cliënt, en van het CA-vertrouwen), zal de cliënt het afwijzen en zal de authenticatie mislukken. De ACS zal de mislukte authenticatie in de webinterface registreren onder Rapporten en Actie > mislukte Pogingen > mislukte Pogingen > Pogingen XXX.csv met de verificatiefout-code vergelijkbaar met "EAP-TLS of PEAP authenticatie mislukt tijdens SSL-handdruk." De verwachte foutmelding in het bestand CSAuth.log is gelijk aan het volgende.

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- In de logbestanden op de ACS-webinterface worden, onder zowel Rapporten als Activiteit > Gepasseerde authenticaties > Geautomatiseerde verificaties > Geautomatiseerde verificaties XXX.csv en Rapporten en activiteit > mislukte pogingen > mislukte pogingen > Pogingen XXX.csv, PEAP-authenticaties in de indeling <DOMAIN>\<user-id> weergegeven. EAP-TLS-authenticaties worden weergegeven in de indeling <user-id>@<domein>.

- Om snel PEAP opnieuw te gebruiken moet u deze optie op zowel de ACS server als de client inschakelen.

- Als PEAP Password Changing is ingeschakeld, kunt u het wachtwoord alleen wijzigen wanneer het wachtwoord van een account is verouderd of wanneer het wachtwoord van de account wordt aangegeven door het volgende logbestand te moeten worden gewijzigd.

- U kunt het certificaat en het vertrouwen van de ACS-server controleren door de onderstaande stappen te volgen.

1. Meld u aan bij Windows op de ACS-server met een account met administratorrechten. Open Microsoft Management Console door naar Start > Start te gaan, mmc te typen en op OK te klikken.

2. Ga in de menubalk naar console > Add/Remove Magnetisch-in en klik vervolgens op Add.

3. Selecteer Certificaten en klik op Toevoegen.

4. Selecteer Computer-account, klik op Volgende en selecteer vervolgens Local computer (de computer waarop deze console is ingeschakeld).

5. Klik op Voltooien, klik op Sluiten en klik vervolgens op OK.

6. Om te controleren of de ACS-server een geldig server-side certificaat heeft, gaat u naar Console Root > Certificaten (Local Computer) > ACSCertStore > Certificaten. Controleer dat er een certificaat voor de ACS server is (genaamd OurACS in dit voorbeeld). Open het certificaat en controleer de volgende onderdelen.

- Er is geen waarschuwing dat het certificaat niet voor alle doeleinden waarvoor het is bestemd, wordt gecontroleerd.

- Er is geen waarschuwing voor het certificaat dat niet wordt vertrouwd.

- "Dit certificaat is bedoeld om de identiteit van een externe computer te garanderen."

- Het certificaat is niet verlopen en is geldig geworden (controle op geldige data "van" en "van" naar").

- "U hebt een privé-sleutel die met dit certificaat overeenkomt."

7. Controleer in het tabblad Details of het veld Versie de waarde V3 heeft en dat het veld Uitgebreide sleutel gebruikt serververificatie heeft (1.3.6.1.5.5.7.3.1).

8. Om te verifiëren dat de ACS server op de CA server vertrouwt, ga naar console Root > Certificaten (Local Computer) > Trusted Root Certified Services > Certificates. Controleer dat er een certificaat is voor de CA server (onze TAC CA genoemd in dit voorbeeld). Open het certificaat en controleer de volgende onderdelen.

- Er is geen waarschuwing dat het certificaat niet voor alle doeleinden waarvoor het is bestemd, wordt gecontroleerd.

- Er is geen waarschuwing voor het certificaat dat niet wordt vertrouwd.

- Het doel van het certificaat is juist.

- Het certificaat is niet verlopen en is geldig geworden (controle op geldige data "van" en "van" naar").

Als de ACS en de klant niet dezelfde basisCA hebben gebruikt, controleer dan of de gehele keten van CA-servercertificaten is geïnstalleerd. Hetzelfde geldt wanneer het certificaat is verkregen van een autoriteit die het subcertificaat heeft afgegeven.

- U kunt het vertrouwen van de klant verifiëren door de onderstaande stappen te volgen.

1. Meld u aan bij Windows op de draadloze client met de account van de klant. Open Microsoft Management Console door naar Start > Start te gaan, mmc te typen en op OK te klikken.

2. Ga in de menubalk naar console > Add/Remove Magnetisch-in en klik vervolgens op Add.

3. Selecteer Certificaten en klik op Toevoegen.

4. Klik op Sluiten en vervolgens op OK.

5. Om te controleren of het profiel van de klant op de CA-server vertrouwd is, gaat u naar Console Root > Certificaten - Huidige gebruiker > Trusted Root Cerfication Authority > Certificates. Controleer dat er een certificaat is voor de CA server (onze TAC CA genoemd in dit voorbeeld). Open het certificaat en controleer de volgende onderdelen.

- Er is geen waarschuwing dat het certificaat niet voor alle doeleinden waarvoor het is bestemd, wordt gecontroleerd.

- Er is geen waarschuwing voor het certificaat dat niet wordt vertrouwd.

- Het doel van het certificaat is juist.

- Het certificaat is niet verlopen en is geldig geworden (controle op geldige data "van" en "van" naar").

Als de ACS en de klant niet dezelfde basisCA hebben gebruikt, controleer dan of de gehele keten van CA-servercertificaten is geïnstalleerd. Hetzelfde geldt wanneer het certificaat is verkregen van een autoriteit die het subcertificaat heeft afgegeven.

- Controleer de ACS-instellingen zoals beschreven in het gedeelte Cisco Secure ACS voor Windows v3.2 configureren.

- Controleer de AP-instellingen zoals beschreven in het gedeelte over het configureren van het Cisco access point.

- Controleer de instellingen voor draadloze clients zoals beschreven in het gedeelte over het configureren van de draadloze client.

- Controleer dat de gebruikersaccount in de interne database van de AAA-server of in een van de geconfigureerde externe databases bestaat. Zorg ervoor dat de account niet is geblokkeerd.

Gerelateerde informatie

- Cisco Secure ACS voor Windows-ondersteuningspagina

- EAP-TLS-implementatiegids voor draadloze LAN-netwerken

- Het verkrijgen van versie en AAA debug informatie voor Cisco Secure ACS voor Windows

- Technische ondersteuning - Cisco-systemen