802.1X与windows域认证的结合研究(智能卡方式) .pdfVIP

与Windows域认证的结合研究（智能卡方式）

Gazali于N2006-11-22

因工作原因，本文限定于“证书”认证方式，证书来源可以从Windows的

证书服务，或者第三方CA（本文内证书从第三方CA颁发）。仅供大家技术参考，

欢迎交流与证书相关的技术问题。

目前尚未解决用同一个用户证书一次完成域登陆认证与802.1X认证。

只解决了

z该用户利用域认证缓存进入windows系统后进行802.1X认证（用户证

书）；

z登陆时候首先进行计算机认证（计算机证书），打开网络，用户在实现

智能卡登陆域。

MSN：oldduck2002@

1交换机配置

略。可以参考

aaanew-model

aaaauthenticationdot1xdefaultgroupradius

aaaauthorizationnetworkdefaultgroupradius

dot1xsystem-auth-control

radius-serverhostauth-port1812acct-port1813keyradius_string

interfaceFastEthernet0/1

switchportmodeaccess

dot1xport-controlauto

dot1xmax-req3

spanning-treeportfast

AD域中计算机及用户“允许拨入”

安装部署过程略。

将各计算机加入到本域内。并在“AD用户与计算机”中的“computers”中

各计算机属性中的“拨入”项选择“允许拨入”。

以后生成的各用户也需要“允许”“拨入”。

3AD发布用户证书

3.1颁发用户证书

普通操作，颁发支持微软域登陆的USBKEY证书。此处发布用户证书，同

时在域内创建该域用户。

3.2颁发计算机证书

1、在RA系统（此处为第三方证书体系，可以采用MS的证书体系）内颁

发“计算机证书”，证书里面“计算机名称”为类似

ABC.MYDOMAIN.COM，须与真实计算机名称完全一致。GUID可以通

过微软AD浏览工具获取。

、在各计算机上安装证书，必须通过控制台方式，将该计算机证书安装

在“本地计算机”证书存储区中。

IAS配置

安装忽略。

4.1将IAS注册进AD

“管理工具”Æ“Internet验证”Æ控制台Æ右击“Internet验证服务”Æ

选择“在AD中注册服务器”。

4.2配置radius客户端

此处radius客户端即为交换机。

新建radius客户端Æ命名Æ设定交换机IP、通讯共享密钥（与交换机设置的

共享密钥一致）Æ完成。

设置远程访问记录

右击“本地文件”Æ选择“属性”Æ选择需要记录的信息。

4.4设置远程访问策略

1、新建策略Æ使用向导设置典型策略Æ选择想创建策略的访问方法“以太

网”Æ授予“Domain/Users”访问权限Æ选择EAP类型为“智能卡或者

其他证书”Æ完成。

2、右击该新建的策略Æ属性Æ选择“授予远程访问权限”。

5客户端IEEE802.1X验证配置

如果选中“验证服务器证书”，则会验证IAS服务器的证书，如果IAS和AD

装在一起，就是同一张证书。

6HOWTO：解决WINOWS证书认证的BUG

如果采用“计算机证书”进行认证，则必须修改一下两项注册表内容，修改

完后，可以重起“wirelesszeroconfig”服务器生效。

6.1选择用计算机证书认证的问题

症状

运行MicrosoftWindowsXP，联网计算机上用户选择“验证计算机身份”，打开

后不执行。

解决办法

您可以修改AuthMode注册表项设置。AuthMo