域无线安全认证方案附配置(AD+IAS).docVIP

基于域的无线安全认证方案 1 前言： 目前，大多数公司在管理内部计算机及用户时，多采用微软的活动目录，而且大部分公司在进行无线网络搭建时，多倾向于使用现有的域结构对用户和计算机进行认证，本文详细的说明了基于现有域基础上的无线认证，H3C无线控制器与微软IAS（备注1）结合，实现了将无线网络无缝的嵌入到用户现有域结构中，并实现在用户登录域过程中，完成无线连接，域计算机认证，域用户认证等多项功能。 2 组网图 3 需要的设备： Windows server 2003 （非web版）（一台） 域控制器，DNS服务器，IAS服务器均在这台server上 windows server 2003安装光盘 IIS 6.0 resource kit(备注2) PC（一台） 配置一块无线网卡 AC（任意型号）（一台） AP（任意型号）（若干） 4 详细配置： 4.1 Windows server 2003端配置： 由于本文讲的是在已存在域上进行相关设置，所以建立域的过程省略。 安装IAS Windows server 2003默认安装时不会安装任何的附加安全组件，因此用户需要手动安装IAS，此过程需要windows server 2003安装光盘。打开控制面板，点击添加删除程序，并选择“添加/删除windows组件”，向下拉动滚动条，找到“网络服务”项，双击进入， 找到internet验证服务，选中，点击确定，并依次点击下一步，完成IAS安装。 安装IAS后，可以通过管理工具或开始菜单来启动IAS 启动后界面如下图： 首先要做的是检查并设置日志策略，右键点击internet验证服务（本地），选择属性 选中红框内的2个选项后，就可以通过windows的时间服务器查看登录信息，这对定位登录问题很有帮助，建议勾选。 端口标签显示了默认的radius端口，微软IAS会监听这2套端口，较低的端口号是传统的端口号码，微软偏向于使用较高的端口号码。 下面是设置访问日志，分为本地日志和SQL日志，本文不涉及SQL日志设置。点击远程访问记录，在右侧窗口中的本地文件上点右键，选择属性。 在设置标签中，你可以选择需要记录的事件，建议全选。 日志文件标签中，可以设置日志的文件和文件的体积限制。 建立radius用户，这里用户的概念是指无线交换机（AC）。 添加好接入设备的名称和IP地址 Radius协议选择RADIUS Standard，在AC上也要设置为standard（如果两端设置不同，可能会导致异常），共享的机密IAS和AC上要设置相同，否则AC与IAS将无法通信。 点击完成，完成添加RADIUS用户操作。 添加远程访问策略 远程访问策略是对试图接入的用户进行验证和授权 添加一个策略名,点击下一步 选择无线，点击下一步 我们要对计算机和用户进行授权，点击“添加” 在空白处输入domain computer后，点击检查名称，然后再输入domain users后，点击检查名称。 需要注意的是，domain computer是用来验证你的计算机的“机器验证“，也就是说，不论用户是否登录，都会先验证用户的计算机是否具有接入资格，这种方式模拟了无线局域网环境中所出现的问题，因此是一种非常有效的验证手段。 如果“机器验证“没有进行，那么组策略以及登录脚本就不会执行，另外，只有已存在于无线接入计算机中的用户才能够正常登录，因此，如果用户之前从未使用该计算机登录无线网络，将无法对其进行域认证。正因为如此，我们建议windows客户使用windows无线网络客户端，并且建议管理员采用自动部署方式完成对客户端的无线网络配置。 注意，上图中我们看到允许访问的计算机组和用户组，这两个组之间的关系是“或“，即符合其中任意一项都可以成功接入，如果仅想使用计算机验证，则删除掉用户组验证就可以。反之亦然。 点击下一步 在点击下一步前，请先进行备注2的操作，备注2的操作是为了生成一个自签名证书，按照备注2操作完成后，点击配置（如果没有进行操作2，则会报告未找到证书）。 点击确定，并完成向导。 调整远程接入策略 完成上述步骤后，我们会看到一个与之前命名一致的远程接入策略出现在窗口中，其余的2个是默认的策略。在默认状态下，新建立的策略是禁用的，因此需要编辑该策略，右键点击选择属性。 我们可以看到，窗口中有2个策略状况，这2者之间是and的关系，即如果某一接入状况同时符合这2个规定，则可以通过，否则就无法通过该策略，并会被转到下一个“远程接入策略”，在我们的例子中，策略状态表中的第一个策略仅允许使用802.11方式接入的用户，第二个策略状态是检查该用户是否符合我们上面设置的用户组或计算机组. 点击“编辑配置文件” “拨入限制”标签允许我们设置拨号接入和线程约束条件。 “加密”标签可以设置加密强