EAP分段实施和行为 - Cisco.PDF

EAP分段实施和行为 目录 简介 先决条件 要求 服务器返回的证书链 请求方返回的证书链 Microsoft Windows本地请求方 解决方案 AnyConnect NAM 与AnyConnect NAM一起的Microsoft Windows本地请求方 分段 在IP层的分段 在RADIUS的分段 在EAP-TLS的分段 EAP-TLS片段确认 EAP-TLS片段重新组装与另外大小 RADIUS属性成帧MTU AAA服务器和请求方行为，当您发送EAP片段 ISE Microsoft网络策略服务器(NP) AnyConnect Microsoft Windows本地请求方 相关信息 简介 本文描述如何明白和排除故障可扩展的认证协议(EAP)会话。这些问题被讨论： 验证、授权和统计(AAA)服务器行为，当他们归还扩展验证传输层安全(EAP-TLS)会话的服务器 证书 恳求者行为，当他们归还EAP-TLS会话的客户端证书 互通性，当使用Microsoft Windows本地请求方和思科AnyConnect网络访问管理器(NAM) 在IP、RADIUS和EAP-TLS和网络访问设备执行的重组进程的分段 RADIUS成帧最大数量传输部件(MTU)属性 AAA服务器的行为，当他们进行EAP-TLS数据包的分段 先决条件 要求 Cisco 建议您了解以下主题： EAP和EAP-TLS协议 思科身份服务引擎(ISE)的配置 思科Catalyst交换机的CLI配置 有一好了解EAP和EAP-TLS为了了解此条款是必要的。 服务器返回的证书链 AAA服务器(访问控制服务器(ACS)和ISE)总是返回EAP-TLS数据包的全双工一系列有服务器问候和 服务器证书的： ISE身份证书(共同名称(CN) =)与签署CN=win2012,dc=example,dc=com的 Certificate Authority (CA)一起返回。行为是相同的为ACS和ISE。 请求方返回的证书链 Microsoft Windows本地请求方 配置的Microsoft Windows 7本地请求方为了使用EAP-TLS，有或没有“简单证书选择”，不发送客户 端证书的全双工一系列。此行为出现，既使当客户端证书由不同的CA (另外一系列)签字比服务器证 书。 此示例与在上一个屏幕画面和证书涉及提交的服务器问候。对于该方案， ISE证书由与使用的CA签 字主题名称， CN=win2012,dc=example,dc=com。但是在Microsoft存储安装的用户证书由不同的 CA签字， CN=CA， C=PL， S=Cisco CA， L=Cisco CA， O=Cisco CA。 结果， Microsoft Windows请求方回应仅客户端证书。CA (签署它的CN=CA、S=PL、S=Cisco CA、L=Cisco CA， O=Cisco CA)没有附加。 因此，当他们验证客户端证书时，行为， AAA服务器也许遇到问题。示例与Microsoft Windows 7 SP1专业人员关连。 解决方案 在ACS和ISE应该安装一条全双工证书链(签署客户端证书)的所有CA和子CA证书存储。 与证书确认的问题在ACS或ISE可以容易地检测。提交关于不信任证书的信息和ISE报告： 12514 EAP-TLS failed SSL/TLS handshake because of an unknown CA in the client certificates chain 与证书确认的问题在请求方不容易地是可发现的。通常AAA服务器响应“终端放弃EAP会话” ： AnyConnect NAM AnyConnect NAM没有此限制。在同一个方案中，它附加客户端证书的完整一系列(正确CA附加) ： 与AnyConnect NAM一起的Microsoft Windows本地请求方 当两服务是UP时， AnyConnect NAM获得优先权。既使当NAM服务不运作，它在Microsoft Windows API仍然连接并且转发EAP数据包，能引起Microsoft Windows本地请求方的问题。这是这 样失败示例。 您启用在Microsoft Windows的跟踪用此命令： C:\netsh ras set tracing * enable 跟踪(c:\windows\trace\svchost _RASTLS.LOG)显示： [2916] 09-14