تكوين أمان RADIUS IPSec لخادم WLCs و Microsoft Windows 2003 IAS

خيارات التنزيل

  • PDF     (717.4 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (832.8 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (2.5 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٥ مارس ٢٠٠٩
معرّف المستند:109774

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يوثق هذا الدليل كيفية تكوين ميزة RADIUS IPSec التي يدعمها WCS ووحدات التحكم في الشبكة المحلية اللاسلكية (WLAN) التالية:

  • السلسلة 4400

  • WiSM

  • 3750G

توجد ميزة Controller RADIUS IPSec على واجهة المستخدم الرسومية (GUI) لوحدة التحكم ضمن قسم الأمان > AAA > خوادم مصادقة RADIUS. توفر هذه الميزة طريقة لتشفير جميع إتصالات RADIUS بين وحدات التحكم وخوادم RADIUS (IAS) باستخدام IPSec.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • معرفة حول LWAPP

  • معرفة مصادقة RADIUS و IPSec

  • معرفة كيفية تكوين الخدمات على نظام تشغيل Windows 2003 Server

المكونات المستخدمة

يجب تثبيت مكونات الشبكة والبرامج هذه وتكوينها من أجل نشر ميزة IPSec في بروتوكول RADIUS لوحدة التحكم:

  • وحدات التحكم WLC 4400 أو WiSM أو 3750G. يستعمل هذا مثال WLC 4400 أن يركض برمجية صيغة 5.2.178.0

  • نقاط الوصول Lightweight (LAPs). يستخدم هذا المثال نقطة الوصول في الوضع Lightweight من السلسلة 1231.

  • التبديل باستخدام DHCP

  • تم تكوين خادم Microsoft 2003 كوحدة تحكم بالمجال مثبتة بواسطة "مرجع شهادات Microsoft" و"خدمة مصادقة إنترنت Microsoft" (IAS).

  • أمان مجال Microsoft

  • مهايئ عميل لاسلكي Cisco 802.11 a/b/g مع ADU الإصدار 3.6 مكون مع WPA2/ PEAP

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

تكوين IPSec RADIUS

لا يتناول دليل التكوين هذا تثبيت أو تكوين عميل Microsoft WinServer أو Certificate Authority أو Active Directory أو WLAN 802.1x. يجب تثبيت هذه المكونات وتكوينها قبل نشر ميزة IPSec RADIUS لوحدة التحكم. يوثق الجزء المتبقي من هذا الدليل كيفية تكوين IPSec RADIUS على هذه المكونات:

  1. وحدات التحكم في الشبكة المحلية اللاسلكية (WLAN) من Cisco

  2. Windows 2003 IAS

  3. إعدادات أمان Microsoft Windows Domain

تكوين عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)

يشرح هذا القسم كيفية تكوين IPSec على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) من خلال واجهة المستخدم الرسومية (GUI).

من واجهة المستخدم الرسومية (GUI) لوحدة التحكم، أكمل الخطوات التالية.

  1. انتقل إلى علامة التبويب أمان > AAA > مصادقة RADIUS في واجهة المستخدم الرسومية (GUI) لوحدة التحكم، وأضف خادم RADIUS جديد.

    ipsec-wlc-1.gif

  2. قم بتكوين عنوان IP، المنفذ 1812، وسر مشترك لخادم RADIUS الجديد. حدد خانة الاختيار IPSec enable-، وقم بتكوين معلمات IPSec هذه، ثم انقر فوق تطبيق.

    ملاحظة: يتم إستخدام السر المشترك لمصادقة خادم RADIUS وكمفتاح مشترك مسبقا (PSK) لمصادقة IPSec.

    ipsec-wlc-2.gif

تكوين IAS

أتمت هذا steps على ال IAS:

  1. انتقل إلى مدير IAS في Win2003 وأضف عميل RADIUS جديدا.

    ipsec-wlc-3.gif

  2. قم بتكوين خصائص عميل RADIUS باستخدام عنوان IP والسر المشترك الذي تم تكوينه على وحدة التحكم:

    ipsec-wlc-4.gif

  3. تكوين نهج وصول عن بعد جديد لوحدة التحكم:

    ipsec-wlc-5.gif

  4. تحرير خصائص نهج الوصول عن بعد لوحدة التحكم. تأكد من إضافة نوع منفذ NAS - لاسلكي - IEEE 802.11:

    ipsec-wlc-6.gif

  5. انقر على تحرير ملف التعريف، وانقر فوق علامة التبويب المصادقة، ثم تحقق من MS-CHAP V2 للمصادقة:

    ipsec-wlc-7.gif

  6. انقر على أساليب EAP، وحدد مزودي EAP، واضيف PEAP كنوع EAP:

    ipsec-wlc-8.gif

  7. انقر على تحرير في تحديد موفري EAP واختر من القائمة المنسدلة الخادم المقترن بحسابات مستخدمي Active Directory و CA (على سبيل المثال، tme.tme.com). إضافة نوع EAP MSCHAP v2:

    ipsec-wlc-9.gif

  8. انقر فوق علامة التبويب التشفير، وفحص جميع أنواع التشفير للوصول عن بعد:

    ipsec-wlc-10.gif

  9. انقر فوق علامة التبويب خيارات متقدمة، وقم بإضافة RADIUS Standard/Framed كنوع الخدمة:

    ipsec-wlc-11.gif

  10. انقر فوق علامة التبويب IP، وتحقق من إمكانية طلب العميل لعنوان IP. هذا يفترض أن أنت تتلقى DHCP يمكن على مفتاح أو WinServer.

    ipsec-wlc-12.gif

إعدادات أمان المجال ل Microsoft Windows 2003

أكمل الخطوات التالية لتكوين إعدادات أمان مجال Windows 2003:

  1. قم بتشغيل مدير إعدادات أمان المجال الافتراضية، وقم بإنشاء سياسة أمان جديدة لنهج الشبكة اللاسلكية (IEEE 802.11).

    ipsec-wlc-13.gif

  2. افتح خصائص نهج شبكة WLAN، وانقر فوق الشبكات المفضلة. أضف شبكة WLAN جديدة مفضلة واكتب اسم WLAN SSID، مثل لاسلكي. انقر نقرا مزدوجا على الشبكة المفضلة الجديدة ثم انقر على علامة التبويب IEEE 802.1x. أختر PEAP ليكون هو النوع EAP:

    ipsec-wlc-14.gif

  3. انقر على إعدادات PEAP، وتحقق من التحقق من شهادة الخادم، وحدد شهادة الجذر الموثوق بها المثبتة على المرجع المصدق. لأغراض الاختبار، قم بإلغاء تحديد مربع MS CHAP V2 لاستخدام تسجيل الدخول إلى Windows وكلمة المرور الخاصة بي تلقائيا.

    ipsec-wlc-15.gif

  4. في إطار إدارة إعدادات أمان المجال الافتراضية ل Windows 2003، قم بإنشاء نهج أمان IP جديدة أخرى على نهج Active Directory، مثل 4404.

    ipsec-wlc-16.gif

  5. قم بتحرير خصائص نهج 4404 الجديدة، وانقر فوق علامة التبويب قواعد. إضافة قاعدة تصفية جديدة - قائمة ملفات IP (ديناميكية)؛ إجراء التصفية (الاستجابة الافتراضية)؛ المصادقة (PSK)؛ النفق (بلا). انقر نقرا مزدوجا على قاعدة المرشح التي تم إنشاؤها حديثا وحدد طرق التأمين:

    ipsec-wlc-17.gif

  6. انقر تحرير أسلوب التأمين، وانقر زر انتقاء الإعدادات المخصصة. أخترت هذا عملية إعداد.

    ملاحظة: يجب أن تتطابق هذه الإعدادات مع إعدادات أمان IPSec الخاصة بوحدة التحكم RADIUS.

    ipsec-wlc-18.gif

  7. انقر فوق علامة التبويب أسلوب المصادقة ضمن خصائص قاعدة التحرير. أدخل نفس السر المشترك الذي أدخلته سابقا في تكوين RADIUS لوحدة التحكم.

    ipsec-wlc-19.gif

وعند هذه النقطة، يتم إكمال جميع التكوينات الخاصة بإعدادات وحدة التحكم و IAS وأمان المجال. قم بحفظ جميع التكوينات على كل من وحدة التحكم ونظام التشغيل WinServer وإعادة تمهيد جميع الأجهزة. على عميل WLAN الذي يتم إستخدامه للاختبار، قم بتثبيت الجذر والتكوين ل WPA2/PEAP. بعد تثبيت شهادة الجذر على العميل، أعد تشغيل جهاز العميل. بعد إعادة تمهيد جميع الأجهزة، قم بتوصيل العميل بالشبكة المحلية اللاسلكية (WLAN) والتقاط أحداث السجل هذه.

ملاحظة: يلزم اتصال عميل لإعداد اتصال IPSec بين وحدة التحكم و WinServer RADIUS.

أحداث سجل النظام ل Windows 2003

يقوم اتصال عميل شبكة WLAN الناجح الذي تم تكوينه ل WPA2/PEAP مع تمكين IPSec RADIUS بتوليد حدث النظام هذا على WinServer:

192.168.30.105 = WinServer
192.168.30.2 = WLAN Controller

ipsec-wlc-20.gif 

User TME0\Administrator was granted access.
Fully-Qualified-User-Name = tme.com/Users/Administrator
NAS-IP-Address = 192.168.30.2
NAS-Identifier = Cisco_40:5f:23
Client-Friendly-Name = 4404
Client-IP-Address = 192.168.30.2
Calling-Station-Identifier = 00-40-96-A6-D4-6D
NAS-Port-Type = Wireless - IEEE 802.11
NAS-Port = 1
Proxy-Policy-Name = Use Windows authentication for all users
Authentication-Provider = Windows
Authentication-Server = <undetermined>
Policy-Name = 4404
Authentication-Type = PEAP
EAP-Type = Secured password (EAP-MSCHAP v2)

يقوم اتصال IPSec الخاص بوحدة التحكم الناجحة <> بإنشاء حدث الأمان هذا على سجلات WinServer:

ipsec-wlc-21.gif 

IKE security association established.
Mode: Data Protection Mode (Quick Mode)
Peer Identity: Preshared key ID.
Peer IP Address: 192.168.30.2
Filter:
Source IP Address 192.168.30.105
Source IP Address Mask 255.255.255.255
Destination IP Address 192.168.30.2
Destination IP Address Mask 255.255.255.255
Protocol 17
Source Port 1812
Destination Port 0
IKE Local Addr 192.168.30.105
IKE Peer Addr 192.168.30.2
IKE Source Port 500
IKE Destination Port 500
Peer Private Addr
Parameters:
ESP Algorithm Triple DES CBC
HMAC Algorithm SHA
AH Algorithm None
Encapsulation Transport Mode
InboundSpi 3531784413 (0xd282c0dd)
OutBoundSpi 4047139137 (0xf13a7141)
Lifetime (sec) 28800
Lifetime (kb) 100000
QM delta time (sec) 0
Total delta time (sec) 0

مثال تصحيح أخطاء نجاح IPSec لوحدة تحكم الشبكة المحلية اللاسلكية RADIUS

يمكنك إستخدام الأمر debug pm ikemsg enable على وحدة التحكم للتحقق من هذا التكوين. فيما يلي مثال. 

(Cisco Controller) >debug pm ikemsg enable
(Cisco Controller) >****** ERR: Connection timed out or error, calling callback
TX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x0000000000000000
SA: doi=1 situation=0x1
Proposal 0, proto=ISAKMP, # transforms=1, SPI[0]
Transform#=0 TransformId=1, # SA Attributes = 6
EncrAlgo = 3DES-CBC
HashAlgo = SHA
AuthMethod = Pre-shared Key
GroupDescr =2
LifeType = secs
LifeDuration =28800
VID: vendor id[16] = 0x8f9cc94e 01248ecd f147594c 284b213b
VID: vendor id[16] = 0x27bab5dc 01ea0760 ea4e3190 ac27c0d0
VID: vendor id[16] = 0x6105c422 e76847e4 3f968480 1292aecd
VID: vendor id[16] = 0x4485152d 18b6bbcd 0be8a846 9579ddcc
VID: vendor id[16] = 0xcd604643 35df21f8 7cfdb2fc 68b6a448
VID: vendor id[16] = 0x90cb8091 3ebb696e 086381b5 ec427b1f
VID: vendor id[16] = 0x7d9419a6 5310ca6f 2c179d92 15529d56
VID: vendor id[16] = 0x12f5f28c 457168a9 702d9fe2 74cc0100
RX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555
SA: doi=1 situation=0x1
Proposal 1, proto=ISAKMP, # transforms=1 SPI[0]
Transform payload: transf#=1 transfId=1, # SA Attributes = 6
EncrAlgo= 3DES-CBC
HashAlgo= SHA
GroupDescr=2
AuthMethod= Pre-shared Key
LifeType= secs
LifeDuration=28800
VENDOR ID: data[20] = 0x1e2b5169 05991c7d 7c96fcbf b587e461 00000004
VENDOR ID: data[16] = 0x4048b7d5 6ebce885 25e7de7f 00d6c2d3
VENDOR ID: data[16] = 0x90cb8091 3ebb696e 086381b5 ec427b1f
TX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555
KE: ke[128] = 0x9644af13 b4275866 478d294f d5408dc5 e243fc58...
NONCE: nonce [16] = 0xede8dc12 c11be7a7 aa0640dd 4cd24657
PRV[payloadId=130]: data[20] = 0x1628f4af 61333b10 13390df8 85a0c0c2 93db6
c67
PRV[payloadId=130]: data[20] = 0xcf0bbd1c 55076966 94bccf4f e05e1533 191b1
378
RX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555
KE: ke[128] = 0x9f0420e5 b13adb04 a481e91c 8d1c4267 91c8b486...
NONCE: nonce[20] = 0x011a4520 04e31ba1 6089d2d6 347549c3 260ad104
PRV payloadId=130: data[20] = 0xcf0bbd1c 55076966 94bccf4f e05e1533 191b13
78
PRV payloadId=130: data[20] = 0x1628f4af 61333b10 13390df8 85a0c0c2 93db6c
67
TX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555
ID: packet[8] = 0x01000000 c0a81e69
HASH: hash[20] = 0x04814190 5d87caa1 221928de 820d9f6e ac2ef809
NOTIFY: doi=1 proto=ISAKMP type=INITIAL_CONTACT, spi[0]
NOTIFY: data[0]
RX MM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555
ID: packet[8] = 0x01000000 c0a81e69
HASH: hash[20] = 0x3b26e590 66651f13 2a86f62d 1b1d1e71 064b43f6
TX QM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555 msgid=0x73915967
HASH: hash[20] = 0x00000000 00000000 00000000 00000000 00000000
SA: doi=1 situation=0x1
Proposal 1, proto=ESP, # transforms=1, SPI[4] = 0xbb243261
Transform#=1 TransformId=3, # SA Attributes = 4
AuthAlgo = HMAC-SHA
LifeType = secs
LifeDuration =28800
EncapMode = Transport
NONCE: nonce [16] = 0x48a874dd 02d91720 29463981 209959bd
ID: packet[8] = 0x01110000 c0a81e02
ID: packet[8] = 0x01110714 c0a81e69
RX QM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555 msgid=0x73915967
HASH: hash[20] = 0x2228d010 84c6014e dd04ee05 4d15239a 32a9e2ba
SA: doi=1 situation=0x1
Proposal 1, proto=ESP, # transforms=1 SPI[4] = 0x7d117296
Transform payload: transf#=1 transfId=3, # SA Attributes = 4
LifeType= secs
LifeDuration=28800
EncapMode= Transport
AuthAlgo= HMAC-SHA
NONCE: nonce[20] = 0x5c4600e4 5938cbb0 760d47f4 024a59dd 63d7ddce
ID: packet[8] = 0x01110000 c0a81e02
ID: packet[8] = 0x01110714 c0a81e69
TX QM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555 msgid=0x73915967
HASH: hash[20] = 0x0e81093e bc26ebf3 d367297c d9f7c000 28a3662d
RX QM: 192.168.30.2 (Initiator) <-> 192.168.30.105 Icookie=0xaac8841687148dda Rc
ookie=0x064bdcaf50d5f555 msgid=0x73915967
HASH: hash[20] = 0xcb862635 2b30202f 83fc5d7a 2264619d b09faed2
NOTIFY: doi=1 proto=ESP type=CONNECTED, spi[4] = 0xbb243261
data[8] = 0x434f4e4e 45435431

أسر إثريالي

هنا عينة إلتقاط ثري. 

192.168.30.105 = WinServer
192.168.30.2 = WLAN Controller
192.168.30.107 = Authenticated WLAN client
No. Time Source Destination Protocol Info
1 0.000000 Cisco_42:d3:03 Spanning-tree-(for-bridges)_00 STP Conf. 
   Root = 32769/00:14:a9:76:d7:c0 Cost = 4 Port = 0x8003
2 1.564706 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
3 1.591426 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
4 1.615600 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
5 1.617243 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
6 1.625168 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
7 1.627006 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
8 1.638414 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
9 1.639673 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
10 1.658440 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
11 1.662462 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
12 1.673782 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
13 1.674631 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
14 1.687892 192.168.30.2 192.168.30.105 ESP ESP (SPI=0x7d117296)
15 1.708082 192.168.30.105 192.168.30.2 ESP ESP (SPI=0xbb243261)
16 1.743648 192.168.30.107 Broadcast LLC U, func=XID; 
   DSAP NULL LSAP Individual, SSAP NULL LSAP Command
17 2.000073 Cisco_42:d3:03 Spanning-tree-(for-bridges)_00 STP Conf. 
   Root = 32769/00:14:a9:76:d7:c0 Cost = 4 Port = 0x8003
18 4.000266 Cisco_42:d3:03 Spanning-tree-(for-bridges)_00 STP Conf. 
   Root = 32769/00:14:a9:76:d7:c0 Cost = 4 Port = 0x8003
19 5.062531 Cisco_42:d3:03 Cisco_42:d3:03 LOOP Reply
20 5.192104 192.168.30.101 192.168.30.255 NBNS Name query NB PRINT.CISCO.COM<00>
21 5.942171 192.168.30.101 192.168.30.255 NBNS Name query NB PRINT.CISCO.COM<00>
22 6.000242 Cisco_42:d3:03 Spanning-tree-(for-bridges)_00 STP Conf. 
   Root = 32769/00:14:a9:76:d7:c0 Cost = 4 Port = 0x8003
23 6.562944 192.168.30.2 192.168.30.105 ARP Who has 192.168.30.105? Tell 192.168.30.2
24 6.562982 192.168.30.105 192.168.30.2 ARP 192.168.30.105 is at 00:40:63:e3:19:c9
25 6.596937 192.168.30.107 Broadcast ARP 192.168.30.107 is at 00:13:ce:67:ae:d2

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
1.0
05-Mar-2009
الإصدار الأولي

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات