AD+CA+EAP-TLS认证模型安装中可能遇到的问题.docVIP

AD+CA+EAP-TLS认证模型基本安装中可能遇到的问题 友情提示：每个小细节都可能是阻挡认证成功的绑脚石，这期间就是拍醒自己脑袋，充分利用已有文档及网络资源，当遇到无法解决的问题时就大胆假设小心求证，曙光就在眼前了。 现象1：client端的PC只能抓到从NAS上发出的epl-request，client端无response发出 可能的原因：Client端的PC有两张网卡一起工作。认证时client不要有两个网卡一起工作。可能PC都在测试间，为了方便，就搞了两张网卡，一张用来远程。切记认证时不要使用两张网卡一起工作，至少XP系统证实不可以这样，将接大网的网卡禁用掉，注意是禁用掉，而不是单纯断开网线。当然还是可以偷会懒，在配置期间是可以用两张网卡的，最后认证的时候把大网卡禁掉就好。 现象2：报文的交互是ACSServer上有access-request收到，而无access-challege发出。在ACSServer上日志提示为： 可能的原因：NAS配置的key。如果交换机在配置时输入了radius-server key 7 **，那么即使密码是正确的，ACS都会无法通过认证。 正确的配置是配置为0级或者干脆不设置级数。这里要注意了，配置时使用0级，show run的时候也会显示为7级，所以擦亮眼睛看清楚哦。 现象3：在ACS证书配置这一步，你把名字填上去，想提交时，就会提示你“Cannot find certificate with specified common name in the ACS storage” 原因：就是配置期间没拍醒自己脑袋，勾错了个勾，足足耗了三小时，而且知道错在什么地方又过了二十小时。。。 ACSServer在申请证书时，到高级证书申请这一步，写好name，该打勾了， 注意要打的勾是和这两个，可我就是把后面那个勾打错地方了，而且每次都错，汗，则。这里顺便提醒一下，也许下次你不是在这个地方勾错了，但是会出现这句，你就可以反省一下证书申请哪个步骤错掉了。 现象4：ACS发出拒绝报文，查看拒绝的原因，为 原因：虽然现在我都没搞懂这里面的关系，不过我知道，如果你的client使用了AD中的一个合法用户来登录系统，那么申请证书时，弹出的填写name\pass的地方就得用登录系统的名字及密码了，这个证书申请来，可以在IE选项里看到。 上面administrator@ruijie-cj.cn就是用administrator账号申请的证书，而实际上client系统登录时使用了test这个用户。正确的结果是，申请的证书为test@ruijie-cj.cn。而怎么控制这个账户呢？除了打开CA的网页用test账号登录外，到高级证书申请这一步，千万不要打这个勾(又是这里，打了这个勾就成administrator了)，申请完，在IE里就可以看到证书颁发给 test。 另外，宝典中对client端申请证书这段上面的步骤英文，而且与实际有出入。正确的做法其实与ACSServer申请证书类似，只是在高级证书申请Failed记录，Authen-Failure-Code为External user not found，那么此时在ACS服务器上选择 “External User Databases→Database Configuration→Windows Database→Configure” 提示An error has occured while processing the External Database Configuration Page because of an internal error.. 目前的解决方法是把ACS重装，然后重新配置就可以了。 现象6：如果在登入客户端系统采用的是域账号登入的话，有时候会出现证书申请失败，这时候该用客户端管理员账号登入，在用域账号去申请证书就可以了。