ACS+802.1x+AAA+AD+CA详细记录.docVIP

ACS+802.1x+AAA+AD+CA详细记录！ 目 录 实验环境： 1 实验拓扑： 2 实验部分： 2 第一部分：DC的安装与配置过程： 3 1、安装DC，在运行下输入dcpromo，会弹出AD的安装向导： 3 2、安装完DC后，运行(管理工具(Active Directory用户和计算机，将会出现以下界面 5 3、将另外一台服务器即ACSCA加入到NAC这个域当中（必要条件），此时需要输入域管理员帐户aaa 8 第二部分：ACS的安装与配置过程： 9 1、安装部分： 9 2、配置部分 12 3、 与AD集成 16 第1步：Unknown User Policy 17 第2步：Database Configuration，选择Windows Database。 18 第3步：Group Mapping，把AD里面的组与ACS里面的组做一个映射，作用是通过AD里面的用户做认证，ACS的组策略做授权。 21 第三部分：CA的安装与配置过程： 24 1、CA的安装 24 2、ACS申请证书 25 3、ACS上配置证书 32 4、配置PEAP认证 33 第四部分：Switch的配置： 36 第五部分：客户端配置 38 第六部分：测试效果 40实验环境： 服务器一台运行VMWare 6.0： Windows 2003 Server Enterprise Edition做DC Windows 2003 Server Enterprise Edition做ACS和CA PC客户端Windows XP (802.1x Client) Switch 3560 POE 一台(c3560-ipbase-mz.122-25.SEB4.bin) Cisco Secure Access Control Server 4.1 (90天测试版) 实验拓扑： 实验部分： DC的安装与配置 ACS的安装与配置 CA的安装与配置 Switch的配置 客户端的配置 测试效果 第一部分：DC的安装与配置过程： 1、安装DC，在运行下输入dcpromo，会弹出AD的安装向导： 具体的安装过程，我在微软的安装教程下截的屏：DNS全名中我输入的是NAC.com.所以以后出现的将以代替 我在安装的过程中没有出现IP地址，所以不用理他了。 2、安装完DC后，运行(管理工具(Active Directory用户和计算机，将会出现以下界面 在User的界面中，右键新建一个用户aaa： 输入用户名和密码： 把aaa的隶属关系增加多一个Domain Admins域管理员，并设置主要组。方便以后的实验 3、将另外一台服务器即ACSCA加入到NAC这个域当中（必要条件），此时需要输入域管理员帐户aaa ACS的安装与配置过程： 感谢ZhaNKO提供的ACS安装过程，省了我很多功夫，呵呵！ACS4.1的安装过程与ACS3.3的过程完全相同。 1、安装部分： 点击完成安装 2、配置部分 安装完后会自动运行ACS，在桌面会也会自动生成一个ACS Admin的图标，在下面的描述过程中，着重于后面与AD集成的配置，对于ACS的使用介绍在这里就不多说了，如果需要，可参考ZhaNKO那份详细的ACS使用手册哈哈，写得非常好！ 安装完后，点击Network Configuration页面，按照拓扑的结构指定交换机（AAA Client）、ACS(AAA Server)，ACS与交换机的共享密码为cisco、然后选择RADIUS(IETF)认证、log Update/Watchdog Packets from this AAA Client ACS的地址、密码cisco、服务类型RADIUS Proxy中把ACS从AAA Server(Forward To中 在建立完后会提示需要重新启动ACS服务，在System Configuration页面第一个Service Control 下方有个Restart服务,重起即可.（以后在配置中会多次提示重起服务，按照此方式重起即可） 重起完服务后，Proxy缺省设置，最后建立好后如下图显示： 与AD集成（本文重点介绍，在这里花了我一天的时间才研究出来，呵呵！） 进入External User Databases页面，在这页面下有3个选项： Unknown User Policy Database Group Mappings Database Configuration 第1步：Unknown User Policy 这里的作用是当ACS检测到非本地用户的时候，可以去找外部的数据库，所以这也是为什么ACS要加入域的原因，把Windows Database移动到右边然后提交 第2步：Database Configuration，选择Wi