需求概述：
利用Cisco的AP，搭建一個企業(yè)無線局域網(wǎng)；用戶的筆記本不用加入AD域，即可登錄到無線網(wǎng)絡，登錄時使用域的用戶名和密碼；SSIDS隱藏，因此用戶無法自行選擇SSID，必須由管理員為其筆記本配置無線網(wǎng)絡；管理員將為不同的用戶選擇配置不同的SSID，讓其登錄進不同的VLAN，從而實現(xiàn)網(wǎng)絡權限的劃分。 
 
　　配置需求： 

  　　VLAN：一臺AP多個VLAN，功能與交換機類似。

  　　SSID隱藏：是 

  　　加密協(xié)議：WPA2 

  　　認證協(xié)議：801x下的PEAP 

  　　RADIUS服務器：Windows 2003所帶的Internet Authentication Service（IAS）

  　　用戶目錄：與企業(yè)的Microsoft Active Directory目錄整合

　　環(huán)境搭建： 

  　　AP：Cisco AIR-AP1231G-A-K9，IOS版本：13（2）JA 

  　　認證服務器：Windows 2003 Enterprise Server with SP1，安裝了IAS服務。

  　　客戶端：Windows XP with SP2，無線網(wǎng)卡為Intel PRO Wireless LAN 2100 3B Mini PCI Adapter.

　　無線AP的配置：
　　IP的配置： 

  　　找到IP：思科AP默認通過DHCP獲取IP，因此如果你的網(wǎng)絡中有DHCP服務器，請先查詢AP的MAC地址，再到你的DHCP服務器的已分發(fā)地址池找到AP已獲得的地址；如果你的網(wǎng)絡中沒有DHCP服務器，請通過Console連進AP.

  　　配置IP：如果通過Console連進AP，請到interface BVI1下為AP配置IP.如果是通過網(wǎng)頁界面配置IP，請到Express SetUp中為AP配置IP.默認的用戶名和密碼都是Cisco，記住區(qū)分大小寫。

　　配置VLAN： 

  　　進入Service - VLAN，填入VLAN和VLAN名稱，點擊Apply新建VLAN. 

  　　重復上述動作，直到將多個VLAN全部建好。

  　　確認與AP相連的交換機端口配置為Trunk Mode.

　　配置加密協(xié)議：

  　　選擇要配置的VLAN. A

  　　進入Security - Encryption Manager，在Encryption Modes中，選擇Cipher - TKIP，其余默認。

 
　　配置認證服務器： 
  　　進入Security - Server Manager，在Corporate Servers中，選擇<NEW>，然后填入IAS服務器的IP地址或者FQDN，輸入Secret，然后端口號請選擇1645，完成后點擊Apply確認。

 
  　　建好一個認證服務器后，還是在Security - Server Manager，在Default Server Priorities中，將我們剛剛建好的認證服務器設為默認的EAP Authentication server.

 
　　配置SSIDs：

  　　進入Security - SSID Manager，在SSID Properties中，選擇New，然后輸入SSID的名稱，所屬的VLAN號，在無線端口前面打勾，確認使用的是該無線端口；Network ID可以不寫的。 (+5m(CvN  


 
  　　在Client Authentication Settings中，選擇Open Authentication with EAP.

 

  　　在Client Authentication Key Management中，選擇WPA的Mandatory.


 
  　　在Multiple BSSID Beacon Settings中，確認“Set SSID as Guest Mode”沒有被勾選上。

 
　　檢查配置： 

  　　到Security中檢查無線配置，最后的配置圖應該類似于下圖：

 

認證服務器的配置：

  　　為服務器安裝IAS服務。

  　　將IAS服務器嵌入Active Directory中。只有做過這個配置，IAS才能到AD目錄中去驗證用戶的真?zhèn)巍?SPAN style="DISPLAY: none"> 

  　　在IAS的Action菜單中，選擇Register Server in Active Directory，即完成了注冊。

　　為IAS服務器配置證書（這一步非常關鍵）： 

  　　首先在AD域中配置證書服務器 LY+tC'Bc;~  

  　　然后為IAS服務器申請證書，證書類型為Computer或Server，不能是User或DC等。
 
  　　證書申請完成后，將申請下來的證書導入IAS服務器，重啟一次。

　　新建RADIUS客戶端 iBXt

  　　在RADIUS Clients中，選擇新建客戶端。 

  　　為該客戶端起一個好記的名字，通常就是AP的Hostname.然后填入AP的IP地址或者FQDN.   

  　　Client-Vendor選擇Cisco，或者RADIUS Standard，都可以的。 

  　　填入Shared secret，必須和在AP中填入的一致。

 

點擊確定即可完成客戶端的新建。

　　新建策略

  　　在Remote Access Policies中，選擇新建。 

  　　為策略起一個好記的名字，這里我們用Temp. 

  　　在Access Method中，選擇Wireless. 

  　　在用戶或組的選擇中，選擇用戶或組。 

  　　如果選擇用戶，那么請到AD的用戶管理中，為該用戶開通遠程撥入權限。 

  　　如果選擇組，那么請事先建好一個用戶組，將所有要使用無線登錄的用戶帳號加入該組。

  　　推薦使用組模式。 

  　　Authentication Methods中，選擇PEAP，并點擊配置以檢查IAS服務器的證書是否安裝完成。如果沒有安裝證書，這里是無法配置的。

 
  　　建完策略后，需對該策略進行進一步配置。進入該策略的屬性，選擇Edit Profile，在認證頁中，勾選上MS-CHAP v2，即可。 

  　　如果該策略只是對一個用戶開設，那么還可以添加上對用戶無線網(wǎng)卡的MAC地址的綁定。在策略條件中，加入一個形如“12356790AB”的Calling-Station-id即可。

　　完成配置

　　用戶端的配置：

  　　在用戶無線網(wǎng)卡上，新建一個無線網(wǎng)絡。 

  　　輸入SSID名，網(wǎng)絡認證選擇WPA，數(shù)據(jù)加密選擇TKIP，密鑰為自動獲取。 

  　　認證頁中，勾選801x，選擇PEAP，并點擊其屬性。 

  　　在PEAP的屬性中，不勾選“驗證服務器證書”，認證方法選擇MS-CHAP v2，并點擊配置，將“自動使用Windows登錄名和密碼驗證前面的勾去掉”（重要）。 

  　　允許快速重連。 $N)dNhjXe  

  　　其他默認即可。

最新評論