目錄

簡介

必要條件

需求

採用元件

背景理論

慣例

網路圖表

配置Cisco Secure ACS for Windows v3.2

獲取ACS伺服器的證書

配置ACS以使用來自儲存的證書

指定ACS應信任的其他證書頒發機構

重新啟動服務並在ACS上配置EAP-TLS設定

指定接入點並將其配置為AAA客戶端

配置外部使用者資料庫

重新啟動服務

配置MS證書電腦自動註冊

配置思科接入點

配置無線客戶端

加入域

為使用者獲取證書

配置無線網路

驗證

疑難排解

相關資訊

簡介

本檔案介紹如何使用Windows 3.2版的Cisco安全存取控制系統(ACS)設定可擴充驗證通訊協定 — 傳輸層安全(EAP-TLS)。

注意：Novell Certificate Authority(CA)不支援電腦身份驗證。ACS可以使用EAP-TLS支援對Microsoft Windows Active Directory進行電腦身份驗證。終端使用者客戶端可能會將使用者身份驗證協定限製為與電腦身份驗證相同的協定。也就是說，對電腦身份驗證使用EAP-TLS可能需要對使用者身份驗證使用EAP-TLS。有關電腦身份驗證的詳細資訊，請參閱Cisco安全訪問控制伺服器4.1使用手冊的電腦身份驗證部分。

注意：設定ACS以通過EAP-TLS對電腦進行身份驗證時，已將ACS設定為電腦身份驗證，必須將客戶端配置為僅執行電腦身份驗證。有關詳細資訊，請參閱如何在Windows Vista、Windows Server 2008和Windows XP Service Pack 3中為基於802.1X的網路啟用僅電腦身份驗證。

必要條件

需求

本文件沒有特定先決條件。

採用元件

本檔案中的資訊是根據以下軟體和硬體版本。

- 適用於Windows的Cisco安全ACS版本3.2

- Microsoft證書服務（作為企業根證書頒發機構[CA]安裝）

注意：有關詳細資訊，請參閱設定證書頒發機構的分步指南 。

- DNS服務(帶有Service Pack 3的Windows 2000 Server和修補程式服務323172

注意：如果遇到CA伺服器問題，請安裝修補程式323172 。Windows 2000 SP3客戶端需要修補程式31364 ，以啟用IEEE 802.1x身份驗證。

- Cisco Aironet 1200系列無線存取點12.01T

- 運行Windows XP Professional（帶Service Pack 1）的IBM ThinkPad T30

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您在即時網路中工作，請確保在使用任何命令之前瞭解其潛在影響。

背景理論

EAP-TLS和受保護的可擴展身份驗證協定(PEAP)都構建並使用TLS/安全套接字層(SSL)隧道。EAP-TLS使用相互身份驗證，其中ACS（身份驗證、授權和記帳[AAA]）伺服器和客戶端均具有證書並向彼此證明其身份。但是，PEAP僅使用伺服器端身份驗證；只有伺服器具有證書並向客戶端證明其身份。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

網路圖表

本文檔使用下圖所示的網路設定。

配置Cisco Secure ACS for Windows v3.2

按照以下步驟配置ACS 3.2。

1. 獲取ACS伺服器的證書。

2. 配置ACS以使用來自儲存的證書。

3. 指定ACS應信任的其他證書頒發機構。

4. 重新啟動服務並在ACS上配置PEAP設定。

5. 指定接入點並將其配置為AAA客戶端。

6. 配置外部使用者資料庫。

7. 重新啟動服務。

獲取ACS伺服器的證書

請依照以下步驟操作，取得憑證。

1. 在ACS伺服器上，開啟Web瀏覽器，輸入http://CA-ip-address/certsrv以訪問CA伺服器。

2. 以管理員身份登入域。

3. 選擇Request a certificate，然後按一下Next。

4. 選擇Advanced request，然後按一下Next。

5. 選擇Submit a certificate request to this CA using a form，然後按一下Next。

6. 設定憑證選項：

1. 選擇Web Server作為證書模板，然後輸入ACS伺服器的名稱。

2. 在Key Size欄位中輸入1024，並選中Mark keys as exportable和Use local machine store覈取方塊。

3. 根據需要配置其他選項，然後按一下Submit。

注意：如果出現「潛在的指令碼衝突」對話方塊，請按一下「是」以繼續。

7. 按一下「Install this certificate」。

注意：如果出現「潛在的指令碼衝突」對話方塊，請按一下「是」以繼續。

8. 如果安裝成功，則會顯示「證書已安裝」消息。

配置ACS以使用來自儲存的證書

完成這些步驟，配置ACS使用儲存中的證書。

1. 開啟Web瀏覽器，輸入http://ACS-ip-address:2002/以訪問ACS伺服器。

2. 按一下System Configuration，然後按一下ACS Certificate Setup。

3. 按一下安裝ACS證書。

4. 按一下Use certificate from storage單選按鈕。

5. 在「Certificate CN」欄位中，輸入您在本檔案從ACS伺服器獲取證書一節的步驟5a中指派的證書的名稱。

6. 按一下「Submit」。

配置完成後，將出現一條確認消息，指示ACS伺服器的配置已更改。

注意：此時不需要重新啟動ACS。

指定ACS應信任的其他證書頒發機構

ACS自動信任頒發其證書的CA。如果使用者端憑證是由額外的CA核發，您必須完成以下步驟：

1. 按一下System Configuration，然後按一下ACS Certificate Setup。

2. 按一下ACS Certificate Authority Setup，將CA新增到受信任證書清單中。

3. 在CA證書檔案的欄位中，輸入證書的位置，然後按一下提交。

4. 按一下「Edit Certificate Trust List」。

5. 檢查ACS應信任的所有CA，並取消檢查ACS不應信任的所有CA。

6. 按一下「Submit」。

重新啟動服務並在ACS上配置EAP-TLS設定

完成以下步驟以重新啟動服務和配置EAP-TLS設定：

1. 按一下System Configuration，然後按一下Service Control。

2. 按一下Restart以重新啟動服務。

3. 要配置EAP-TLS設定，請按一下System Configuration，然後按一下Global Authentication Setup。

4. 選中Allow EAP-TLS，然後選中一個或多個證書比較。

5. 按一下「Submit」。

指定接入點並將其配置為AAA客戶端

完成以下步驟，將存取點(AP)設定為AAA使用者端：

1. 按一下「Network Configuration」。

2. 在AAA Clients下，按一下Add Entry。

3. 在AAA Client Hostname欄位中輸入接入點主機名，在AAA Client IP Address欄位中輸入接入點地址。

4. 在Key（金鑰）欄位中輸入ACS和接入點的共用金鑰。

5. 選擇RADIUS(Cisco Aironet)作為驗證方法，然後按一下Submit。

配置外部使用者資料庫

完成以下步驟以配置外部使用者資料庫。

1. 按一下External User Databases，然後按一下Database Configuration。

2. 按一下Windows資料庫。

注意：如果尚未定義Windows資料庫，請按一下建立新配置，然後按一下提交。

3. 按一下「Configure」。

4. 在配置域清單下，將SEC-SYD域從可用域移動到域清單。

5. 在Windows EAP Settings區域中，按一下Permit EAP-TLS machine authentication覈取方塊以啟用電腦身份驗證。

附註：  請勿更改電腦身份驗證名稱字首。Microsoft當前使用「/host」（預設值）來區分使用者和電腦身份驗證。

6. 或者，您可以選中EAP-TLS Strip Domain Name覈取方塊以啟用域剝離。

7. 按一下「Submit」。

8. 按一下External User Databases，然後按一下Unknown User Policy。

9. 按一下Check the following external user databases單選按鈕。

10. 將Windows資料庫從「外部資料庫」清單移到「所選資料庫」清單。

11. 按一下「Submit」。

重新啟動服務

完成ACS配置後，請完成以下步驟以重新啟動服務：

1. 按一下System Configuration，然後按一下Service Control。

2. 按一下「Restart」。

配置MS證書電腦自動註冊

完成以下步驟，為自動電腦證書註冊配置域：

1. 轉到控制面板>管理工具>開啟Active Directory使用者和電腦。

2. 按一下右鍵domain sec-syd，然後選擇Properties。

3. 按一下Group Policy選項卡。

4. 按一下Default Domain Policy，然後按一下Edit。

5. 轉到Computer Configuration > Windows Settings > Security Settings > Public Key Policies > Automatic Certificate Request Settings。

6. 在選單欄上，轉到Action > New > Automatic Certificate Request，然後按一下Next。

7. 選擇「Computer」，然後按一下「Next」。

8. 在本範例中，檢查憑證授權單位「我們的TAC CA」。

9. 按一下Next，然後按一下Finish。

配置思科接入點

完成以下步驟，將AP配置為使用ACS作為身份驗證伺服器：

1. 開啟Web瀏覽器，輸入http://AP-ip-address/certsrv以訪問AP。

2. 在工具欄上，按一下Setup。

3. 在「服務」下，按一下安全，然後按一下驗證伺服器。

注意：如果在AP上配置了帳戶，則必須登入。

4. 輸入身份驗證器配置設定：

- 為802.1x協定版本（用於EAP身份驗證）選擇802.1x-2001。

- 在Server Name/IP欄位中輸入ACS伺服器的IP地址。

- 選擇RADIUS作為伺服器型別。

- 在Port欄位中輸入1645或1812。

- 輸入在指定接入點並將其配置為AAA客戶端中指定的共用金鑰。

- 選中EAP Authentication選項以指定應如何使用伺服器。

5. 完成後，按一下OK。

6. 按一下「Radio Data Encryption(WEP)」。

7. 輸入內部資料加密設定。

- 從Use of Data Encryption by Stations is下拉選單中選擇Full Encryption，以設定資料加密的級別。

- 對於Accept Authentication Type，選中Open覈取方塊以設定接受的身份驗證型別，並選中Network-EAP以啟用LEAP。

- 對於Require EAP，請選中Open覈取方塊以要求EAP。

- 在「加密金鑰」欄位中輸入加密金鑰，然後從「金鑰大小」下拉選單中選擇128位。

8. 完成後，按一下OK。

9. 轉至Network > Service Sets > Select the SSID Idx，確認使用了正確的服務集識別符號(SSID)。

10. 按一下「OK」（確定）。

配置無線客戶端

完成以下步驟以配置ACS 3.2:

1. 加入域。

2. 獲取使用者的證書。

3. 配置無線網路。

加入域

完成這些步驟，將無線客戶端新增到域中。

注意：為了完成這些步驟，無線客戶端必須通過有線連線或通過禁用802.1x安全性的無線連線來連線到CA。

1. 以本地管理員身份登入到Windows XP。

2. 轉到控制面板>效能和維護>系統。

3. 按一下Computer Name頁籤，然後按一下Change。

4. 在「電腦名稱」欄位中輸入主機名。

5. 選擇Domain，然後輸入域的名稱（在此示例中為SEC-SYD）。

6. 按一下「OK」（確定）。

7. 出現「登入」對話方塊時，請使用具有加入域的足夠許可權的帳戶登入。

8. 電腦成功加入域後，重新啟動電腦。

電腦成為域的成員。由於配置了電腦自動註冊，因此電腦具有安裝CA的證書以及電腦身份驗證的證書。

為使用者獲取證書

完成以下步驟即可取得使用者的憑證。

1. 以需要證書的帳戶身份登入到無線客戶端（筆記型電腦）上的Windows XP和域(SEC-SYD)。

2. 開啟Web瀏覽器，輸入http://CA-ip-address/certsrv以訪問CA伺服器。

3. 使用同一帳戶登入到CA伺服器。

注意：證書儲存在無線客戶端的當前使用者配置檔案下；因此，您必須使用相同的帳戶才能登入到Windows和CA。

4. 按一下Request a certificate單選按鈕，然後按一下Next。

5. 按一下Advanced request單選按鈕，然後按一下Next。

6. 按一下Submit a certificate request to this CA using a form單選按鈕，然後按一下Next。

7. 從Certificate Template中選擇User，然後在Key Size欄位中輸入1024。

8. 根據需要配置其他選項，然後按一下Submit。

注意：如果出現「潛在的指令碼衝突」對話方塊，請按一下「是」以繼續。

9. 按一下「Install this certificate」。

注意：如果出現「潛在的指令碼衝突」對話方塊，請按一下「是」以繼續。

注意：如果CA自己的證書尚未儲存在無線客戶端上，則可能會顯示根證書儲存。按一下Yes將證書儲存到本地儲存。

如果安裝成功，將顯示一條確認消息。

配置無線網路

完成以下步驟，設定無線網路選項：

1. 以域使用者身份登入域。

2. 轉到控制面板>網路和Internet連線>網路連線。

3. 按一下右鍵Wireless Connection，然後選擇Properties。

4. 按一下Wireless Networks頁籤。

5. 從可用網路清單中選擇無線網路，然後按一下Configure。

6. 在Authentication頁籤上，選中Enable IEEE 802.1x authentication for this network覈取方塊。

7. 從EAP型別下拉選單中選擇智慧卡或其他Certificate，然後按一下Properties。

注意：要啟用電腦身份驗證，請選中當電腦資訊可用時作為電腦驗證覈取方塊。

8. 按一下Use a certificate on this computer單選按鈕，然後選中Use simple certificate selection覈取方塊。

9. 選中Validate server certificate覈取方塊，然後按一下OK。

注意：當客戶端加入域時，CA的證書會自動作為受信任的根證書頒發機構安裝。使用者端自動隱式信任簽署使用者端憑證的CA。可以通過在受信任的根憑證授權清單中檢查其他CA來信任它們。

10. 在網路屬性視窗的Association頁籤上，選中Data encryption(WEP enabled)和The key is provided for me automatically覈取方塊。

11. 按一下「OK」，然後再次按一下「OK」以關閉網路組態視窗。

驗證

本節提供的資訊可用於確認組態是否正常運作。

- 若要確認無線使用者端是否經過驗證，請完成以下步驟：

1. 在無線客戶端上，轉到控制面板>網路和Internet連線>網路連線。

2. 在選單欄上，轉至檢視>磁貼。

無線連線應顯示「驗證成功」消息。

- 若要驗證無線客戶端是否已通過身份驗證，請在ACS Web介面上轉到Reports and Activity > Passed Authentications > Passed Authentications active.csv。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

- 驗證MS證書服務是否已作為企業根CA安裝在Windows 2000 Advanced Server Service Pack 3上。

- 驗證您是否在Windows 2000和Service Pack 3中使用適用於Windows 3.2的Cisco Secure ACS。

- 如果無線客戶端上的電腦身份驗證失敗，則無線連線上將沒有網路連線。只有在無線客戶端上快取其配置檔案的帳戶才能登入該域。電腦必須插入有線網路或設定為無802.1x安全性的無線連線。

- 如果CA加入域時自動註冊失敗，請檢查事件檢視器以瞭解可能的原因。

- 如果無線客戶端的使用者配置檔案沒有有效的證書，如果密碼正確，您仍然可以登入到電腦和域，但請注意，無線連線沒有連線。

- 如果無線客戶端上的ACS證書無效（取決於證書的有效「自」和「至」日期、客戶端的日期和時間設定以及CA信任），則客戶端將拒絕該證書，身份驗證將失敗。ACS將在Web介面中的Reports and Activity > Failed Attempts > Failed Attempts XXX.csv下記錄失敗的身份驗證，其身份驗證失敗代碼類似於「EAP-TLS或PEAP身份驗證在SSL握手期間失敗」。 CSAuth.log檔案中預期的錯誤消息類似於以下消息：

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- 如果ACS上的客戶端證書無效（取決於證書的有效「自」和「至」日期、伺服器的日期和時間設定以及CA信任），則伺服器將拒絕該證書，身份驗證將失敗。ACS將在Web介面中的Reports and Activity > Failed Attempts > Failed Attempts XXX.csv下記錄失敗的身份驗證，其身份驗證失敗代碼類似於「EAP-TLS或PEAP身份驗證在SSL握手期間失敗」。 如果ACS因為ACS不信任CA而拒絕客戶端的證書，則CSAuth.log檔案中的預期錯誤消息與以下消息類似：

AUTH 06/04/2003 15:47:43 E 0345 1696 EAP: ProcessResponse:

SSL handshake failed, status = 3 (SSL alert fatal:unknown CA certificate)

如果ACS因為證書過期而拒絕客戶端的證書，則CSAuth.log檔案中的預期錯誤消息類似於以下消息：

AUTH 06/04/2005 15:02:08 E 0345 1692 EAP: ProcessResponse:

SSL handshake failed, status = 3 (SSL alert fatal:certificate expired)

- 在ACS Web介面上的日誌中，在Reports and Activity > Passed Authentications > Passed Authentications XXX.csv和Reports and Activity > Failed Attempts > Failed Attempts XXX.csv下，EAP-TLS身份驗證以<user-id>@<domain>格式顯示。PEAP身份驗證以<DOMAIN>\<user-id>格式顯示。

- 您可以按照以下步驟驗證ACS伺服器的證書和信任。

1. 使用具有管理員許可權的帳戶登入ACS伺服器上的Windows。

2. 轉至開始>運行，鍵入mmc，然後按一下OK以開啟Microsoft管理控制檯。

3. 在選單欄上，轉到控制檯>新增/刪除管理單元，然後按一下新增。

4. 選擇「Certificates」，然後按一下「Add」。

5. 選擇Computer account，按一下Next，然後選擇Local computer（運行此控制檯的電腦）。

6. 按一下Finish，按一下Close，然後按一下OK。

7. 若要確認ACS伺服器具有有效的伺服器端憑證，請前往Console Root > Certificates(Local Computer)> Personal > Certificates，然後確認ACS伺服器是否有憑證（在本範例中命名為OurACS）。

8. 開啟憑證，並驗證以下專案：

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 該證書用於 — 確保遠端電腦的身份。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

- "您有一個與此證書對應的私鑰。"

9. 在Details（詳細資訊）頁籤上，驗證Version（版本）欄位的值為V3,Enhanced Key Usage（增強型金鑰用法）欄位是否具有Server Authentication(1.3.6.1.5.5.7.3.1)。

10. 若要確認ACS伺服器是否信任CA伺服器，請前往Console Root > Certificates(Local Computer)> Trusted Root Certification Authorities > Certificates，然後確認CA伺服器是否有憑證（在本範例中命名為Our TAC CA）。

11. 開啟憑證，並驗證以下專案：

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 證書的預期用途正確。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

如果ACS和客戶端未使用相同的根CA，則驗證是否已安裝整個CA伺服器證書鏈。如果憑證是從次級憑證授權機構獲得的，則同樣適用。

- 您可以按照以下步驟驗證無線客戶端的電腦證書和信任。

1. 使用具有管理員許可權的帳戶登入ACS伺服器上的Windows。轉至開始>運行，鍵入mmc，然後按一下確定，開啟Microsoft管理控制檯。

2. 在選單欄上，轉到控制檯>新增/刪除管理單元，然後按一下新增。

3. 選擇Certificates，然後按一下Add。

4. 選擇Computer account，按一下Next，然後選擇Local computer（運行此控制檯的電腦）。

5. 按一下Finish，按一下Close，然後按一下OK。

6. 驗證電腦是否具有有效的客戶端證書。如果證書無效，電腦身份驗證將失敗。要驗證證書，請轉到Console Root > Certificates(Local Computer)> Personal > Certificates。驗證是否有用於該電腦的證書；名稱將採用<host-name>.<domain>格式。開啟證書並驗證以下專案。

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- "此證書用於 — 向遠端電腦證明您的身份。"

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

- "您有一個與此證書對應的私鑰。"

- 在Details頁籤上，驗證Version欄位的值為V3，並且Enhanced Key Usage欄位至少包含Client Authentication的值(1.3.6.1.5.5.7.3.2);可能會列出其他用途。確保Subject欄位包含值CN = <host-name>。<domain>;可能會列出其他值。驗證主機名和域是否與證書中指定的匹配。

- 要驗證客戶端的配置檔案是否信任CA伺服器，請轉到Console Root > Certificates(Current User)> Trusted Root Certification Authorities > Certificates。確認CA伺服器是否有憑證（在本範例中命名為Our TAC CA）。 開啟證書並驗證以下專案。

- 沒有警告表明證書沒有全部用於預期目的。

- 沒有有關證書不受信任的警告。

- 證書的預期用途正確。

- 證書尚未過期且已生效（請檢查有效的「自」和「至」日期）。

如果ACS和客戶端未使用相同的根CA，則驗證是否已安裝整個CA伺服器證書鏈。如果憑證是從次級憑證授權機構獲得的，則同樣適用。

- 按照配置Cisco Secure ACS for Windows v3.2中的說明驗證ACS設定。

- 按照配置MS證書服務中的說明驗證CA設定。

- 按照配置思科接入點中的說明驗證AP設定。

- 按照配置無線客戶端中的說明驗證無線客戶端設定。

- 驗證AAA伺服器的內部資料庫或配置的外部資料庫之一是否存在該使用者帳戶，並確保該帳戶未被禁用。

- 基於安全雜湊演演算法2(SHA-2)建立的CA頒發的憑證與Cisco Secure ACS不相容，因為它們是使用Java開發的，而後者目前不支援SHA-2。為了解決此問題，請重新安裝CA並將其設定為使用SHA-1頒發憑證。

相關資訊

- Cisco Secure ACS for Windows支援頁

- 無線LAN網路的EAP-TLS部署指南

- 獲取適用於Windows的Cisco Secure ACS的版本和AAA調試資訊

- 技術支援 - Cisco Systems