需求概述:利用Cisco的AP,搭建一個企業無線局域網;用戶的筆記本不用加入AD域,即可登錄到無線網絡,登錄時使用域的用戶名和密
碼;SSIDS隱藏,因此用戶無法自行選擇SSID,必須由管理員爲其筆記本配置無線網絡;管理員將爲不同的用戶選擇配置不同的SSID,讓其登錄進不同
的VLAN,從而實現網絡權限的劃分。
配置需求:
VLAN:一臺AP多個VLAN,功能與交換機類似。
SSID隱藏:是
加密協議:WPA2
認證協議:801x下的PEAP
RADIUS服務器:Windows 2003所帶的Internet Authentication Service(IAS)
用戶目錄:與企業的Microsoft Active Directory目錄整合
環境搭建:
AP:Cisco AIR-AP1231G-A-K9,IOS版本:13(2)JA
認證服務器:Windows 2003 Enterprise Server with SP1,安裝了IAS服務。
客戶端:Windows XP with SP2,無線網卡爲Intel PRO Wireless LAN 2100 3B Mini PCI Adapter.
無線AP的配置:
IP的配置:
找到IP:思科AP默認通過DHCP獲取IP,因此如果你的網絡中有DHCP服務器,請先查詢AP的MAC地址,再到你
的DHCP服務器的已分發地址池找到AP已獲得的地址;如果你的網絡中沒有DHCP服務器,請通過Console連進AP.
配置IP:如果通過Console連進AP,請到interface BVI1下爲AP配置IP.如果是通過網頁界面配置IP,請到
Express SetUp中爲AP配置IP.默認的用戶名和密碼都是Cisco,記住區分大小寫。
配置VLAN:
進入Service - VLAN,填入VLAN和VLAN名稱,點擊Apply新建VLAN.
重複上述動作,直到將多個VLAN全部建好。
確認與AP相連的交換機端口配置爲Trunk Mode.
配置加密協議:
選擇要配置的VLAN.
進入Security - Encryption Manager,在Encryption Modes中,選擇Cipher - TKIP,其餘默認。
進入Security - Server Manager,在Corporate Servers中,選擇<NEW>,然後填入IAS服務器的IP地址或者FQDN,輸入Secret,然後端口號請選擇1645,完成後點擊Apply確認。
建好一個認證服務器後,還是在Security - Server Manager,在Default Server Priorities中,將我們剛剛建好的認證服務器設默認的EAP Authentication server.
配置SSIDs:
進入Security - SSID Manager,在SSID Properties中,選擇New,然後輸入SSID的名稱,所屬的VLAN號,在無線端口前面打勾,確認使用的是該無線端口;Network ID可以不寫的。
在Client Authentication Settings中,選擇Open Authentication with EAP.
在Client Authentication Key Management中,選擇WPA的Mandatory.
在Multiple BSSID Beacon Settings中,確認“Set SSID as Guest Mode”沒有被勾選上。
檢查配置:
到Security中檢查無線配置,最後的配置圖應該類似於下圖:
爲服務器安裝IAS服務。
將IAS服務器嵌入Active Directory中。只有做過這個配置,IAS才能到AD目錄中去驗證用戶的真僞。
在IAS的Action菜單中,選擇Register Server in Active Directory,即完成了註冊。
爲IAS服務器配置證書(這一步非常關鍵):
首先在AD域中配置證書服務器
然後爲IAS服務器申請證書,證書類型爲Computer或Server,不能是User或DC等。
證書申請完成後,將申請下來的證書導入IAS服務器,重啓一次。
新建RADIUS客戶端
在RADIUS Clients中,選擇新建客戶端。
爲該客戶端起一個好記的名字,通常就是AP的Hostname.然後填入AP的IP地址或者FQDN.
Client-Vendor選擇Cisco,或者RADIUS Standard,都可以的。
填入Shared secret,必須和在AP中填入的一致。
點擊確定即可完成客戶端的新建。
新建策略
在Remote Access Policies中,選擇新建。
爲策略起一個好記的名字,這裏我們用Temp.
在Access Method中,選擇Wireless.
在用戶或組的選擇中,選擇用戶或組。
如果選擇用戶,那麼請到AD的用戶管理中,爲該用戶開通遠程撥入權限。
如果選擇組,那麼請事先建好一個用戶組,將所有要使用無線登錄的用戶帳號加入該組。
推薦使用組模式。
Authentication Methods中,選擇PEAP,並點擊配置以檢查IAS服務器的證書是否安裝完成。如果沒有安裝證書,這裏是無法配置的。
建完策略後,需對該策略進行進一步配置。進入該策略的屬性,選擇Edit Profile,在認證頁中,勾選上MS-CHAP v2,即可。
如果該策略只是對一個用戶開設,那麼還可以添加上對用戶無線網卡的MAC地址的綁定。在策略條件中,加入一個形如“12356790AB”的Calling-Station-id即可。
完成配置
用戶端的配置:
在用戶無線網卡上,新建一個無線網絡。
輸入SSID名,網絡認證選擇WPA,數據加密選擇TKIP,密鑰爲自動獲取。
認證頁中,勾選801x,選擇PEAP,並點擊其屬性。
在PEAP的屬性中,不勾選“驗證服務器證書”,認證方法選擇MS-CHAP v2,並點擊配置,“自動使用Windows登錄名和密碼驗證前面的勾去掉”(重要)。
允許快速重連。
其他默認即可。