SANGFOR WLAN v1渠道初级认证培训05 认证授权配置指南.ppt

Web认证配置介绍 802.1x协议介绍 802.1x单向证书认证配置 802.1x双向证书认证配置 目录 Sangfor 802.1x的实现方案 方案一：单向证书认证 PEAP-MSCHAPv2 把 EAP-MSCHAPv2 跟 PEAP 结合一起使用，得益于 PEAP 内部创建的 TLS 隧道所提供的健壮安全性，EAP-MSCHAPv2 的交互过程可以得到加密保护，从而防止了攻击者通过离线字典攻击方式来分析用户密码的安全弱点。 PEAP-MSCHAPv2 协议，由 2 个阶段组成： EAP Radius 恳请者 Supplicant 认证者 Authenticator Radius 服务器 Radius Server ①服务器提供证书，用于校验服务器的合法性 认 证 过 程 ②用户提供用户名、密码，进行身份验证 单向证书认证配置 第一步：设置CA证书 CA配置，初始化内置CA中心(WAC初次使用才需要初始化)，新增由内置CA颁发的服务器证书“tzm” * 第二步：设置SSID认证方式 1、设置认证SSID：“qiye_test”，选择接入点，数据转发模式证方式为“WPA/WPA2企业认证”，选择本地用户，证书选择第一步新建的“服务器证书tzm”。 单向证书认证配置 * 2、选择认证方式“本地认证”，证书选择由内置CA颁发的证书“tzm” 单向证书认证配置 第三步：设置本地用户名和密码 单向证书认证配置 第四步：采用自动配置工具快速部署无线 1、设置自动配置网络 配置一个无线网络SSID，专门用户下载无线自动配置工具 单向证书认证配置 * 2、检测自动无线网络VLAN配置 注意：配置的自动无线网络，会默认生成认证前的角色，该角色仅仅提供下载工具的角色使用。而且需要检测确保自动下载工具的vlan正常，默认采用的1，有可能获取不到IP地址，所以需要去修改。 单向证书认证配置 * 3、启用证书注册服务（可选） 证书注册服务一般是设置用户本地用户时，没有主动点击生成证书，由用户第一次登录认证的，自动设置申请个人证书，并自动下发。 单向证书认证配置 4、把无线网络添加到自动配置工具中 单向证书认证配置 * 5、PC连接开放式SSID下载自动配置工具 单向证书认证配置 第五步：在手机终端上连接无线SSID 1、 连接无线手机配置， 2、（可选）连接SSID“get_auto_config_tools”下载证书 3、认证时，选择CA证书，用户证书不需要选择 单向证书认证配置 Web认证配置介绍 802.1x协议介绍 802.1x单向证书认证配置 802.1x双向证书认证配置 目录 Sangfor 802.1x的实现方案 方案二：双向证书认证 PEAP-TLS 如果 PEAP 的内层认证方法（也称为第 2 阶段认证方法）使用 TLS 协议，则称之为：PEAP-TLS，微软的 Windows Server 2003 IAS、Windows Server 2008 NPS 服务，Windows 客户端都支持此协议。 与 PEAP-MSCHAPv2 协议一样，PEAP-TLS也由2个阶段组成： EAP Radius 恳请者 Supplicant 认证者 Authenticator Radius 服务器 Radius Server ①服务器提供证书，用于校验服务器的合法性 认 证 过 程 ②用户提供个人证书，进行身份验证 1、WAC上启用双向证书认证 双向证书认证配置 * 2、 设置本地用户名，生成证书，并导出安装 双向证书认证配置 * 3、导入CA证书和个人证书 根据单向证书认证的方法，把CA证书导入到，“本地计算机”的“受信任的根证书颁发机构”。并把刚才导出的“个人用户证书”导入到PC的“当前用户”的“个人证书”路径下。 双向证书认证配置 * 4、终端上选择证书，而不再选择PEAP方式认证 双向证书认证配置 * 5、连接无线网络时选择个人证书 双向证书认证配置 或采用自动配置工具快速部署无线 1、设置自动配置网络 配置一个无线网络SSID，专门用户下载无线自动配置工具 双向证书认证配置 * 2、检测自动无线网络VLAN配置 注意：配置的自动无线网络，会默认生成认证前的角色，该角色仅仅提供下载工具的角色使用。而且需要检测确保自动下载工具的vlan正常，默认采用的1，有可能获取不到IP地址，所以需要去修改。 双向证书认证配置 * 3、启用证书注册服务（可选） 证书注册服务一般是设置用户本地用户时，没有主动点击生成证书，由用户第一次登录认证的，自动设置申请个人证书，并自动下发。 双向证书认证配置 第四步：采用自动配置工具快速部署无线 4、把无线网络添加到自动配置工具中 双向证书认证配置 *