Konfigurieren von NPS, Wireless LAN Controllern und drahtlosen Netzwerken

Download-Optionen

  • PDF     (7.0 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (7.4 MB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (6.7 MB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:4. Dezember 2025
Dokument-ID:115988

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

    Einleitung

    In diesem Dokument wird beschrieben, wie Sie das PEAP mit MS-CHAP-Authentifizierung und Microsoft NPS als RADIUS-Server konfigurieren.

    Voraussetzungen

    Anforderungen

    Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

    • Grundkenntnisse der Windows 2008-Installation
    • Kenntnisse der Cisco Controller-Installation

    Stellen Sie vor der Konfiguration sicher, dass die folgenden Anforderungen erfüllt sind:

    • Installieren Sie Microsoft Windows Server 2008 auf jedem der Server im Testlabor.
    • Aktualisieren Sie alle Service Packs.
    • Einbau der Controller und Lightweight Access Points (LAPs)
    • Konfigurieren Sie die neuesten Software-Updates.

    Informationen zur Erstinstallation und -konfiguration der Cisco Wireless Controller der Serie 5508 finden Sie im Installationshandbuch für Cisco Wireless Controller der Serie 5500.

    note-icon

    Anmerkung: Dieses Dokument soll den Lesern ein Beispiel für die Konfiguration geben, die auf einem Microsoft-Server für die PEAP-MS-CHAP-Authentifizierung erforderlich ist. Die in diesem Dokument vorgestellte Microsoft Windows-Serverkonfiguration wurde in der Übung getestet und funktioniert wie erwartet. Wenn Sie Probleme mit der Konfiguration haben, wenden Sie sich an Microsoft. Das Cisco Technical Assistance Center (TAC) unterstützt keine Microsoft Windows-Serverkonfiguration.

    Microsoft Windows 2008 Installations- und Konfigurationshandbücher finden Sie auf Microsoft Tech Net.

    Verwendete Komponenten

    Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

    • Cisco 5508 Wireless Controller mit Firmware-Version 7.4
    • Cisco Aironet 3602 Access Point (AP) mit LWAPP (Lightweight Access Point Protocol) 
    • Windows 2008 Enterprise Server mit installiertem NPS, CA (Certificate Authority), DHCP (Dynamic Host Control Protocol) und DNS (Domain Name System)
    • Microsoft Windows 7-Client-PC
    • Cisco Catalyst Switches der Serie 3560

    Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

    Konventionen

    Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

    Hintergrundinformationen

    Dieses Dokument enthält eine Beispielkonfiguration für das Protected Extensible Authentication Protocol (PEAP) mit dem Microsoft Challenge Handshake Authentication Protocol (MS-CHAP) Version 2 für die Authentifizierung in einem Cisco Unified Wireless-Netzwerk mit dem Microsoft Network Policy Server (NPS) als RADIUS-Server.

    PEAP-Übersicht

    PEAP verwendet Transport Level Security (TLS), um einen verschlüsselten Kanal zwischen einem authentifizierten PEAP-Client, z. B. einem Wireless-Laptop, und einem PEAP-Authentifikator, z. B. Microsoft NPS oder einem beliebigen RADIUS-Server, zu erstellen. PEAP gibt keine Authentifizierungsmethode an, bietet jedoch zusätzliche Sicherheit für andere Extensible Authentication Protocols (EAPs) wie EAP-MS-CHAP v2, die über den von PEAP bereitgestellten TLS-verschlüsselten Kanal betrieben werden können. Der PEAP-Authentifizierungsprozess besteht aus zwei Hauptphasen.

    PEAP Phase 1: TLS-verschlüsselter Kanal

    Der Wireless-Client wird mit dem Access Point verknüpft. Eine IEEE 802.11-basierte Zuordnung bietet eine Authentifizierung mit offenem System oder gemeinsam genutztem Schlüssel, bevor eine sichere Zuordnung zwischen dem Client und dem Access Point erstellt wird. Nachdem die IEEE 802.11-basierte Verbindung zwischen dem Client und dem Access Point hergestellt wurde, wird die TLS-Sitzung mit dem Access Point ausgehandelt. Nachdem die Authentifizierung zwischen dem Wireless-Client und dem NPS erfolgreich abgeschlossen wurde, wird die TLS-Sitzung zwischen dem Client und dem NPS ausgehandelt. Der in dieser Verhandlung abgeleitete Schlüssel wird zur Verschlüsselung der gesamten nachfolgenden Kommunikation verwendet.

    PEAP Phase 2: EAP-authentifizierte Kommunikation

    Die EAP-Kommunikation, die auch die EAP-Verhandlung umfasst, findet innerhalb des von PEAP innerhalb der ersten Stufe des PEAP-Authentifizierungsprozesses erstellten TLS-Kanals statt. Der NPS authentifiziert den Wireless-Client mit EAP-MS-CHAP v2. Der LAP und der Controller leiten nur Nachrichten zwischen dem Wireless-Client und dem RADIUS-Server weiter. Der Wireless LAN Controller (WLC) und das LAP können diese Nachrichten nicht entschlüsseln, da sie nicht den TLS-Endpunkt bilden.

    Die RADIUS-Nachrichtensequenz für einen erfolgreichen Authentifizierungsversuch (bei dem der Benutzer gültige kennwortbasierte Anmeldeinformationen mit PEAP-MS-CHAP v2 angegeben hat) ist:

    1. Der NPS sendet eine Identitätsanforderungsnachricht an den Client: EAP-Anforderung/Identität.
    2. Der Client antwortet mit einer Identitätsantwort: EAP-Antwort/Identität
    3. Der NPS sendet eine MS-CHAP v2-Abfragenachricht: EAP-Request/EAP-Type=EAP MS-CHAP-V2 (Herausforderung).
    4. Der Client antwortet mit einer MS-CHAP v2-Herausforderung und Antwort: EAP-Response/EAP-Type=EAP-MS-CHAP-V2 (Response).
    5. Der NPS sendet ein MS-CHAP v2-Erfolgspaket zurück, wenn der Server den Client erfolgreich authentifiziert hat: EAP-Request/EAP-Type=EAP-MS-CHAP-V2 (Erfolg).
    6. Der Client antwortet mit einem MS-CHAP v2-Erfolgspaket, wenn der Client den Server erfolgreich authentifiziert hat: EAP-Response/EAP-Type=EAP-MS-CHAP-V2 (Erfolgreich).
    7. Der NPS sendet einen TLV (EAP-type-length-value), der auf eine erfolgreiche Authentifizierung hinweist.
    8. Der Client antwortet mit einer EAP-TLV-Statuserfolgsmeldung.
    9. Der Server schließt die Authentifizierung ab und sendet eine EAP-Success-Nachricht im Nur-Text-Format. Wenn VLANs für die Client-Isolierung bereitgestellt werden, sind die VLAN-Attribute in dieser Meldung enthalten.

    Konfigurieren

    In diesem Abschnitt werden die Informationen zur Konfiguration von PEAP-MS-CHAP v2 angezeigt.

    note-icon

    Anmerkung: Weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen erhalten Sie mit dem Befehlsnachschlachtool. Nur registrierte Cisco Benutzer können auf interne Tools und Informationen von Cisco zugreifen.

    Netzwerkdiagramm

    Bei dieser Konfiguration wird folgende Netzwerkkonfiguration verwendet:

    Network DiagramNetzwerkdiagramm

    In diesem Setup führt ein Microsoft Windows 2008-Server die folgenden Rollen aus:

    • Domänencontroller für die Domäne 
    • DHCP/DNS-Server
    • CA-Server
    • NPS - zur Authentifizierung der Wireless-Benutzer
    • Active Directory - zur Verwaltung der Benutzerdatenbank

    Der Server stellt über einen Layer-2-Switch, wie dargestellt, eine Verbindung zum kabelgebundenen Netzwerk her. Der WLC und der registrierte LAP stellen ebenfalls über den Layer-2-Switch eine Verbindung zum Netzwerk her.

    Die Wireless-Clients verwenden die Wi-Fi Protected Access 2 (WPA2) - PEAP-MS-CHAP v2-Authentifizierung, um eine Verbindung mit dem Wireless-Netzwerk herzustellen.

    Konfigurationen

    Das Ziel dieses Beispiels ist die Konfiguration des Microsoft 2008-Servers, des Wireless LAN Controllers und des Lightweight AP zur Authentifizierung der Wireless Clients mit PEAP-MS-CHAP v2-Authentifizierung. Dieser Prozess besteht aus drei Hauptschritten:

    1. Konfigurieren Sie Microsoft Windows 2008 Server.
    2. Konfigurieren des WLC und der APs mit geringem Gewicht
    3. Konfigurieren der Wireless-Clients

    Konfigurieren von Microsoft Windows 2008 Server

    In diesem Beispiel umfasst eine vollständige Konfiguration des Microsoft Windows 2008-Servers die folgenden Schritte:

    1. Konfigurieren Sie den Server als Domänencontroller.
    2. Installieren und Konfigurieren von DHCP-Services
    3. Installation und Konfiguration des Servers als CA-Server.
    4. Verbinden Sie Clients mit der Domäne.
    5. Installation des NPS
    6. Installieren eines Zertifikats
    7. Konfigurieren des NPS für die PEAP-Authentifizierung
    8. Hinzufügen von Benutzern zum Active Directory  

    Konfigurieren von Microsoft Windows 2008 Server als Domänencontroller

    Führen Sie die folgenden Schritte aus, um den Microsoft Windows 2008-Server als Domänencontroller zu konfigurieren:

    1. Klicken Sie auf Start> Server Manager.

      Open the Server Manager

    2. Klicken Sie auf Rollen > Rollen hinzufügen.

      Select Add Roles

    3. Klicken Sie auf Next (Weiter).

      Before You Begin

    4. Wählen Sie den Dienst Active Directory-Domänendienste aus, und klicken Sie auf Weiter.

      Select Server Roles

    5. Überprüfen Sie die Einführung in die Active Directory-Domänendienste, und klicken Sie auf Weiter.

      Active Directory Domain Services

    6. Klicken Sie auf Installieren, um die Installation zu starten.

      Confirm Installation Selections

      Die Installation wird fortgesetzt und abgeschlossen.

    7. Klicken Sie auf Diesen Assistenten schließen, und starten Sie den Assistenten zum Installieren der Active Directory-Domänendienste (dcpromo.exe), um die Installation und Konfiguration von Active Directory fortzusetzen.

      Installation Results

    8. Klicken Sie auf Weiter, um den Assistenten zum Installieren der Active Directory-Domänendienste auszuführen.

      Domain Services Installation Wizard

    9. Überprüfen Sie die Informationen zur Betriebssystemkompatibilität, und klicken Sie auf Weiter.

      Run the Active Directory Domain Services Installation Wizard

    10. Klicken Sie auf Eine neue Domäne in einer neuen Gesamtstruktur erstellen > Weiter, um eine neue Domäne zu erstellen.

      Review the Information on Operating System Compatibility

    11. Geben Sie den vollständigen DNS-Namen für die neue Domäne ein, und klicken Sie auf Weiter.

      Name the Forest Root Domain

    12. Wählen Sie die Gesamtstrukturfunktionsebene für Ihre Domäne aus, und klicken Sie auf Weiter.

      Set Forest Functional Level

    13. Wählen Sie die funktionale Domänenebene für Ihre Domäne aus, und klicken Sie auf Weiter.

      Select the Forest Functional Level

    14. Vergewissern Sie sich, dass der DNS-Server ausgewählt ist, und klicken Sie auf Weiter.

      Check the DNS Server for Additional Options

    15. Klicken Sie auf Ja, um mit dem Installationsassistenten eine neue Zone in DNS für die Domäne zu erstellen.

      Select Yes in Installation Wizard

    16. Wählen Sie die Ordner aus, die Active Directory für die Dateien verwenden muss, und klicken Sie auf Weiter.

      Select Folders the Active Directory Must Use

    17. Geben Sie das Administratorkennwort ein, und klicken Sie auf Weiter.

      Enter the Administrator Password

    18. Überprüfen Sie Ihre Auswahl, und klicken Sie auf Weiter.

      Review Selections

      Die Installation wird fortgesetzt.

    19. Klicken Sie auf Fertig stellen, um den Assistenten zu schließen.

      Select Finish to Close the Wizard

    20. Starten Sie den Server neu, damit die Änderungen wirksam werden.

      Restart the Server

    Installieren und Konfigurieren der DHCP-Dienste auf dem Microsoft Windows 2008 Server

    Der DHCP-Dienst auf dem Microsoft 2008-Server wird verwendet, um den Wireless-Clients IP-Adressen bereitzustellen. Gehen Sie wie folgt vor, um DHCP-Dienste zu installieren und zu konfigurieren:

    1. Klicken Sie auf Start>Server Manager.

      Install and Configure DHCP Services


    2. Klicken Sie auf Rollen > Rollen hinzufügen.

      Add Roles

    3. Klicken Sie auf Next (Weiter).

      Before You Begin

    4. Wählen Sie den Service DHCP-Server aus, und klicken Sie auf Weiter.

      Select Server Roles

    5. Lesen Sie den Abschnitt Einführung in den DHCP-Server, und klicken Sie auf Weiter.

      Review the Introduction to DHCP Server

    6. Wählen Sie die Schnittstelle aus, die der DHCP-Server auf Anfragen überwachen muss, und klicken Sie auf Weiter.

      Select Interface the DHCP Server must Monitor for Requests

    7. Konfigurieren Sie die DNS-Standardeinstellungen, die der DHCP-Server den Clients bereitstellen muss, und klicken Sie auf Weiter.

      Configure the Default DNS Settings

    8. Konfigurieren Sie WINS, wenn das Netzwerk WINS unterstützt.

      Configure WINS if Network Supports WINS

    9. Klicken Sie auf Hinzufügen, um den Assistenten zum Erstellen eines DHCP-Bereichs zu verwenden, oder auf Weiter, um einen DHCP-Bereich zu einem späteren Zeitpunkt zu erstellen. Klicken Sie auf Weiter, um fortzufahren.

      Create a DHCP Scope or Create DHCP Scope

    10. Aktivieren oder deaktivieren Sie die DHCPv6-Unterstützung auf dem Server, und klicken Sie auf Weiter.

      Configure DHCPv6 Stateless Mode

    11. Konfigurieren Sie die IPv6-DNS-Einstellungen, wenn DHCPv6 im vorherigen Schritt aktiviert wurde. Klicken Sie auf Weiter, um fortzufahren.

      Configure IPv6 DNS Settings

    12. Geben Sie Domänenadministratoranmeldeinformationen an, um den DHCP-Server in Active Directory zu autorisieren, und klicken Sie auf Weiter.

      Provide Domain Administrator Credentials

    13. Überprüfen Sie die Konfiguration auf der Bestätigungsseite, und klicken Sie auf Installieren, um die Installation abzuschließen.

      Confirm Configuration and Install

      Die Installation wird fortgesetzt.

    14. Klicken Sie auf Schließen, um den Assistenten zu schließen.

      Installation Results

      Der DHCP-Server ist nun installiert.

    15. Klicken Sie auf Start > Verwaltung > DHCP, um den DHCP-Dienst zu konfigurieren.

      Start Administrative Tools

    16. Erweitern Sie den DHCP-Server (im vorherigen Bild für dieses Beispiel dargestellt), klicken Sie mit der rechten Maustaste auf IPv4, und wählen Sie Neuer Bereich, um einen DHCP-Bereich zu erstellen.

      Expand the DHCP Server and Choose New Scope

    17. Klicken Sie auf Weiter, um den neuen Bereich mithilfe des Assistenten für neue Bereiche zu konfigurieren.

      New Scope Wizard

    18. Geben Sie einen Namen für den neuen Bereich an (in diesem Beispiel Wireless Clients), und klicken Sie auf Weiter.

      Enter Scope Name

    19. Geben Sie den Bereich der verfügbaren IP-Adressen ein, die für DHCP-Leases verwendet werden können. Klicken Sie auf Weiter, um fortzufahren.

      Enter Range of IP Addresses for DHCP Leases

    20. Erstellen Sie eine optionale Liste der ausgeschlossenen Adressen. Klicken Sie auf Weiter, um fortzufahren.

      Create Optional List of Excluded IP Addresses

    21. Konfigurieren Sie die Leasedauer, und klicken Sie auf Weiter.

      Configure Lease Time

    22. Klicken Sie auf Ja, ich möchte diese Optionen jetzt konfigurieren, und klicken Sie auf Weiter.

      Configure DHCP Options

    23. Geben Sie die IP-Adresse des Standardgateways für diesen Bereich ein, und klicken Sie auf Hinzufügen > Weiter.

      Enter IP Address of the Default Gateway

    24. Konfigurieren Sie den DNS-Domänennamen und den DNS-Server für die Clients. Klicken Sie auf Weiter, um fortzufahren.

      Configure the DNS Domain Name and DNS Server

    25. Geben Sie WINS-Informationen für diesen Bereich ein, wenn das Netzwerk WINS unterstützt. Klicken Sie auf Weiter, um fortzufahren.

      Enter WINS Servers Information

    26. Klicken Sie zum Aktivieren dieses Bereichs auf Ja, ich möchte diesen Bereich jetzt aktivieren> Weiter.

      Activate the Scope

    27. Klicken Sie auf Fertig stellen, um den Assistenten abzuschließen und zu schließen.

      Finish the New Scope Configuration

    Installieren und Konfigurieren von Microsoft Windows 2008 Server als Zertifizierungsstellenserver

    PEAP mit EAP-MS-CHAP v2 validiert den RADIUS-Server anhand des auf dem Server vorhandenen Zertifikats. Darüber hinaus muss das Serverzertifikat von einer öffentlichen Zertifizierungsstelle ausgestellt werden, die vom Clientcomputer als vertrauenswürdig eingestuft wird (d. h., das öffentliche Zertifizierungsstellenzertifikat ist bereits im Ordner der vertrauenswürdigen Stammzertifizierungsstelle im Zertifikatspeicher des Clientcomputers vorhanden). 

    Führen Sie die folgenden Schritte aus, um den Microsoft Windows 2008-Server als CA-Server zu konfigurieren, der das Zertifikat an den NPS ausstellt:

    1. Klicken Sie auf Start> Server Manager.

      Configure the Microsoft Windows 2008 Server

    2. Klicken Sie auf Rollen > Rollen hinzufügen.

      Add Roles

    3. Klicken Sie auf Next (Weiter).

      Before You Begin

    4. Wählen Sie den Dienst Active Directory-Zertifikatdienste aus, und klicken Sie auf Weiter.

      Select Server Roles

    5. Überprüfen Sie die Einführung in die Active Directory-Zertifikatdienste, und klicken Sie auf Weiter.

      Introduction to Active Directory Certificate Services

    6. Wählen Sie die Zertifizierungsstelle aus, und klicken Sie auf Weiter.

      Select Certification Authority Role

    7. Wählen Sie Enterprise aus, und klicken Sie auf Weiter.

      Specify Setup Type Enterprise

    8. Wählen Sie Stammzertifizierungsstelle aus, und klicken Sie auf Weiter.

      Specify CA Type

    9. Wählen Sie Neuen privaten Schlüssel erstellen aus, und klicken Sie auf Weiter.

      Set Up Private Key

    10. Klicken Sie unter "Verschlüsselung für CA konfigurieren" auf Weiter.

      Configure Cryptography for CA

    11. Klicken Sie auf Weiter, um den standardmäßigen allgemeinen Namen für diese Zertifizierungsstelle zu akzeptieren.

      Configure CA Name

    12. Wählen Sie den Zeitraum aus, für den dieses Zertifizierungsstellenzertifikat gültig ist, und klicken Sie auf Weiter.

      Set Length of Validity Period

    13. Klicken Sie auf Weiter, um den Standardspeicherort für die Zertifikatsdatenbank zu übernehmen.

      Accept the Default Certificate Database

    14. Überprüfen Sie die Konfiguration, und klicken Sie auf Installieren, um die Active Directory-Zertifikatdienste zu starten. 

      Install and See Results


    15. Klicken Sie nach Abschluss der Installation auf Schließen.

    Clients mit der Domäne verbinden

    Führen Sie die folgenden Schritte aus, um die Clients mit dem kabelgebundenen Netzwerk zu verbinden und die domänenspezifischen Informationen aus der neuen Domäne herunterzuladen:

    1. Verbinden Sie die Clients über ein gerades Ethernetkabel mit dem kabelgebundenen Netzwerk.
    2. Starten Sie den Client, und melden Sie sich mit dem Benutzernamen und dem Kennwort des Clients an.
    3. Klicken Sie auf Start>Ausführen, geben Sie cmd ein, und klicken Sie auf OK.
    4. Geben Sie an der Eingabeaufforderung ipconfig ein, und klicken Sie auf Enter, um zu überprüfen, ob DHCP korrekt funktioniert und ob der Client eine IP-Adresse vom DHCP-Server erhalten hat.
    5. Um den Client mit der Domäne zu verbinden, klicken Sie auf Start, klicken Sie mit der rechten Maustaste auf Computer, wählen Sie Eigenschaften, und wählen Sie Einstellungen ändern unten rechts aus.
    6. Klicken Sie auf Ändern.
    7. Klicken Sie auf Domäne, geben Sie den Domänennamen (in diesem Beispiel Wireless) ein, und klicken Sie auf OK.

      Enter the Domain Name

    8. Geben Sie den Benutzernamen Administrator und das Kennwort für die Domäne ein, der der Client beitritt. Dies ist das Administratorkonto im Active Directory auf dem Server.

      Enter Username as Administrator and the Password to Domain Client Joins

    9. Klicken Sie auf OK, und klicken Sie erneut auf OK.

      The Computer Name Domain Changes

    10. Klicken Sie auf Schließen>Jetzt neu starten, um den Computer neu zu starten.
    11. Melden Sie sich nach dem Neustart des Computers mit folgenden Funktionen an: Benutzername = Administrator; Password = <Domänenkennwort>; Domäne = Wireless.
    12. Klicken Sie auf Start, klicken Sie mit der rechten Maustaste auf Computer, wählen Sie Eigenschaften, und wählen Sie Einstellungen ändern unten rechts aus, um zu überprüfen, ob Sie sich in der Wireless-Domäne befinden.
    13. Der nächste Schritt besteht darin, zu überprüfen, ob der Client das Zertifizierungsstellenzertifikat (trust) vom Server erhalten hat.

      Verify Client Received the CA Certificate

    14. Klicken Sie auf Start, geben Sie mmc ein, und drücken Sie die Eingabetaste.
    15. Klicken Sie auf Datei, und klicken Sie auf Snap-In hinzufügen/entfernen.
    16. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

      Add or Remove Snap In

    17. Klicken Sie auf Computerkonto, und klicken Sie auf Weiter.

      Select Computer Account

    18. Klicken Sie auf Lokaler Computer, und klicken Sie auf Weiter.

      Select Local Computer

    19. Klicken Sie auf OK.
    20. Erweitern Sie die Ordner Zertifikate (Lokaler Computer) und Vertrauenswürdige Stammzertifizierungsstellen, und klicken Sie auf Zertifikate. Suchen Sie in der Liste nach einem Zertifikat für die Wireless-Domäne-CA. In diesem Beispiel heißt das Zertifizierungsstellenzertifikat wireless-WIN-MVZ9Z2UMNMS-CA. 

      Find the Wireless Domain CA Certificate

    21. Wiederholen Sie dieses Verfahren, um der Domäne weitere Clients hinzuzufügen.

    Installieren des Netzwerkrichtlinienservers auf dem Microsoft Windows 2008 Server

    In dieser Konfiguration wird der NPS als RADIUS-Server verwendet, um Wireless-Clients mit PEAP-Authentifizierung zu authentifizieren. Führen Sie die folgenden Schritte aus, um NPS auf dem Microsoft Windows 2008-Server zu installieren und zu konfigurieren:

    1. Klicken Sie auf Start> Server Manager.

      Start Server Manager

    2. Klicken Sie auf Rollen > Rollen hinzufügen.

      Roles Summary

    3. Klicken Sie auf Next (Weiter).

      Before You Begin

    4. Wählen Sie den Dienst Netzwerkrichtlinie und Zugriffsdienste aus, und klicken Sie auf Weiter.

      Select Server Roles

    5. Lesen Sie die Einführung in Netzwerkrichtlinien und Zugriffsservices, und klicken Sie auf Weiter.

      Network Policy and Access Services

    6. Wählen Sie Netzwerkrichtlinienserver aus, und klicken Sie auf Weiter.

      Select Network Policy Server

    7. Überprüfen Sie die Bestätigung, und klicken Sie auf Installieren.

      Confirm Installation Selections


      Nach Abschluss der Installation wird ein ähnlicher Bildschirm angezeigt.

      Installation Results

    8. Klicken Sie auf Close (Schließen).

    Installieren eines Zertifikats

    Führen Sie die folgenden Schritte aus, um das Computerzertifikat für den NPS zu installieren:

    1. Klicken Sie auf Start, geben Sie mmc ein, und drücken Sie die Eingabetaste.
    2. Klicken Sie auf Datei > Snap-In hinzufügen/entfernen.
    3. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

      Add or Remove Snap In

    4. Wählen Sie Computerkonto aus, und klicken Sie auf Weiter.

      Certificate Snap In

    5. Wählen Sie Lokaler Computer aus, und klicken Sie auf Fertig stellen.

      Select Local Computer and Finish

    6. Klicken Sie auf OK, um zur Microsoft Management Console (MMC) zurückzukehren.

      Return to the Microsoft Management Console (MMC)

    7. Erweitern Sie die Ordner Zertifikate (Lokaler Computer) und Persönliche Ordner, und klicken Sie auf Zertifikate.

      Expand the Certificates and Personal folders and Click Certificates

    8. Klicken Sie mit der rechten Maustaste in den leeren Bereich unterhalb des Zertifizierungsstellenzertifikats, und wählen Sie Alle Aufgaben > Neues Zertifikat anfordern aus.

      Request New Certificate

    9. Klicken Sie auf Next (Weiter).

      Certificate Enrollment

    10. Wählen Sie Domain Controller aus, und klicken Sie auf Registrieren.

      Select Domain Controller

    11. Klicken Sie nach der Installation des Zertifikats auf Fertig stellen.

      Finish Enrollment

      Das NPS-Zertifikat ist jetzt installiert. 

    12. Stellen Sie sicher, dass der beabsichtigte Zweck des Zertifikats "Client Authentication, Server Authentication" lautet.

      Certificate Should Read Client Authentication Server Authentication

    Konfigurieren des Netzwerkrichtlinienserver-Diensts für die PEAP-MS-CHAP v2-Authentifizierung

    Führen Sie die folgenden Schritte aus, um den NPS für die Authentifizierung zu konfigurieren:

    1. Klicken Sie auf Start > Verwaltung> Netzwerkrichtlinienserver.
    2. Klicken Sie mit der rechten Maustaste auf NPS (Lokal), und wählen Sie Server in Active Directory registrieren aus.

      Register Server in Active Directory

    3. Klicken Sie auf OK.

      Network Policy Server

    4. Klicken Sie auf OK.

      Computer is Now Authorized

    5. Fügen Sie den Wireless LAN Controller als AAA-Client (Authentication, Authorization, Accounting) auf dem NPS hinzu.
    6. Erweitern Sie RADIUS-Clients und -Server. Klicken Sie mit der rechten Maustaste auf RADIUS Clients, und wählen Sie New RADIUS Client (Neuer RADIUS-Client).

      Choose New RADIUS Client

    7. Geben Sie einen Anzeigenamen (in diesem Beispiel WLC), die Verwaltungs-IP-Adresse des WLC (in diesem Beispiel 192.168.162.248) und einen gemeinsamen geheimen Schlüssel ein. Derselbe geheime Schlüssel wird für die Konfiguration des WLC verwendet. 

      New RADIUS Client

    8. Klicken Sie auf OK, um zum vorherigen Bildschirm zurückzukehren.

      List of RADIUS Client

    9. Erstellen einer neuen Netzwerkrichtlinie für Wireless-Benutzer Erweitern Sie Richtlinien, klicken Sie mit der rechten Maustaste auf Netzwerkrichtlinien, und wählen Sie Neu.

      Select Network Polices

    10. Geben Sie einen Richtliniennamen für diese Regel ein (in diesem Beispiel Wireless PEAP), und klicken Sie auf Weiter.

      Specify Network Policy Name and Connection Type

    11. Wenn diese Richtlinie nur Wireless-Domänenbenutzer zulässt, fügen Sie die folgenden drei Bedingungen hinzu, und klicken Sie auf Weiter:

      • Windows-Gruppen - Domänenbenutzer
      • NAS-Porttyp - Wireless - IEEE 802.11
      • Authentifizierungstyp - EAP 

        Add Specific Conditions

    12. Klicken Sie auf Zugriff gewährt, um Verbindungsversuche zu gewähren, die dieser Richtlinie entsprechen, und klicken Sie auf Weiter.

      Specify Access Permission

    13. Deaktivieren Sie alle Authentifizierungsmethoden unter Weniger sichere Authentifizierungsmethoden.

      Configure Authentication Methods

    14. Klicken Sie auf Hinzufügen, wählen Sie PEAP aus, und klicken Sie auf OK, um PEAP zu aktivieren.

      Enable PEAP

    15. Microsoft auswählen: Protected EAP (PEAP), und klicken Sie auf Edit. Stellen Sie sicher, dass das zuvor erstellte Domänencontrollerzertifikat in der Dropdown-Liste "Zertifikat ausgestellt" ausgewählt ist, und klicken Sie auf OK.

      Microsoft Protected EAP

    16. Klicken Sie auf Next (Weiter).

      Configure Constraints

    17. Klicken Sie auf Next (Weiter).

      Configure Settings

    18. Klicken Sie auf Next (Weiter).

      Completing New Network Policy

    19. Klicken Sie auf Beenden.

      Add Users to the Active Directory

    Hinzufügen von Benutzern zum Active Directory

    In diesem Beispiel wird die Benutzerdatenbank in Active Directory verwaltet. Führen Sie die folgenden Schritte aus, um der Active Directory-Datenbank Benutzer hinzuzufügen:

    1. Öffnen Sie Active Directory-Benutzer und -Computer. Klicken Sie auf Start> Verwaltung >> Active Directory-Benutzer und -Computer.
    2. Erweitern Sie in der Konsolenstruktur von Active Directory-Benutzer und -Computer die Domäne, klicken Sie mit der rechten Maustaste auf Benutzer> Neu, und wählen Sie Benutzer aus.
    3. Geben Sie im Dialogfeld Neues Objekt - Benutzer den Namen des Wireless-Benutzers ein. In diesem Beispiel wird der Name Client1 im Feld Vorname und Client1 im Feld Benutzername verwendet. Klicken Sie auf Next (Weiter).

      Do Not Check User Must Change Password at Next Log On

    4. Geben Sie im Dialogfeld Neues Objekt - Benutzer in den Feldern Kennwort und Kennwort bestätigen ein Kennwort Ihrer Wahl ein. Stellen Sie sicher, dass das Kontrollkästchen Benutzer muss Kennwort bei der nächsten Anmeldung ändern nicht aktiviert ist, und klicken Sie auf Weiter.

      Select Finish

    5. Klicken Sie im Dialogfeld Neues Objekt - Benutzer auf Fertig stellen.

      In Controller Interface Select New

    6. Wiederholen Sie die Schritte 2 bis 4, um weitere Benutzerkonten zu erstellen.

    Konfigurieren des Wireless LAN-Controllers und der LAPs

    Konfigurieren Sie die Wireless-Geräte (Wireless LAN-Controller und LAPs) für diese Einrichtung.

    Konfigurieren des WLC für die RADIUS-Authentifizierung

    Konfigurieren Sie den WLC so, dass der NPS als Authentifizierungsserver verwendet wird. Der WLC muss konfiguriert werden, um die Benutzeranmeldeinformationen an einen externen RADIUS-Server weiterzuleiten. Der externe RADIUS-Server überprüft dann die Anmeldeinformationen des Benutzers und ermöglicht den Zugriff auf die Wireless-Clients.

    Führen Sie die folgenden Schritte aus, um den NPS als RADIUS-Server auf der Seite Security > RADIUS Authentication (Sicherheit > RADIUS-Authentifizierung) hinzuzufügen:

    1. Wählen Sie Security > RADIUS > Authentication (Sicherheit > RADIUS > Authentifizierung) in der Controllerschnittstelle, um die Seite RADIUS Authentication Servers (RADIUS-Authentifizierungsserver) anzuzeigen. Klicken Sie auf Neu, um einen RADIUS-Server zu definieren.

      RADIUS Authentication Servers Add IP

    2. Definieren Sie die RADIUS-Serverparameter. Zu diesen Parametern gehören die RADIUS-Server-IP-Adresse, der gemeinsame geheime Schlüssel, die Portnummer und der Serverstatus. Die Kontrollkästchen "Network User and Management" (Netzwerkbenutzer und -verwaltung) legen fest, ob die RADIUS-basierte Authentifizierung für Verwaltungs- und Netzwerkbenutzer (Wireless-Benutzer) gilt. In diesem Beispiel wird der NPS als RADIUS-Server mit der IP-Adresse 192.168.162.12 verwendet. Klicken Sie auf Apply.

      Under Security Tab

    Konfigurieren eines WLAN für die Clients

    Konfigurieren Sie den Service Set Identifier (SSID) (WLAN), mit dem die Wireless-Clients eine Verbindung herstellen. In diesem Beispiel erstellen Sie die SSID und nennen sie PEAP.

    Definieren Sie die Layer-2-Authentifizierung als WPA2, sodass die Clients eine EAP-basierte Authentifizierung (in diesem Beispiel PEAP-MS-CHAP v2) durchführen und den erweiterten Verschlüsselungsstandard (AES) als Verschlüsselungsmechanismus verwenden. Lassen Sie alle anderen Werte unverändert.

    note-icon

    Anmerkung: Dieses Dokument bindet das WLAN an die Verwaltungsschnittstellen. Wenn Sie mehrere VLANs in Ihrem Netzwerk haben, können Sie ein separates VLAN erstellen und dieses an die SSID binden. Weitere Informationen zum Konfigurieren von VLANs auf WLCs finden Sie unter VLANs auf Wireless LAN Controllern - Konfigurationsbeispiel.

    Gehen Sie wie folgt vor, um ein WLAN auf dem WLC zu konfigurieren:

    1. Klicken Sie auf WLANs in der Controller-Schnittstelle, um die Seite "WLANs" anzuzeigen. Auf dieser Seite werden die WLANs aufgelistet, die auf dem Controller vorhanden sind.
    2. Wählen Sie Neu aus, um ein neues WLAN zu erstellen. Geben Sie die WLAN-ID und die WLAN-SSID für das WLAN ein, und klicken Sie auf Apply.

      Select WLANs and Enter Profile Name

    3. Führen Sie die folgenden Schritte aus, um die SSID für 802.1x zu konfigurieren:
      1. Klicken Sie auf die Registerkarte Allgemein, und aktivieren Sie das WLAN.

        Edit PEAP Under the General Tab

      2. Klicken Sie auf die Registerkarten Sicherheit > Layer 2, legen Sie die Layer-2-Sicherheit auf WPA + WPA2 fest, aktivieren Sie die Kontrollkästchen WPA + WPA2-Parameter (z. B. WPA2 AES) nach Bedarf, und klicken Sie auf 802.1x als Authentifizierungsschlüsselverwaltung.

        Set Layer 2 Security

      3. Klicken Sie auf die Registerkarten Sicherheit > AAA-Server, wählen Sie die IP-Adresse des NPS aus der Dropdown-Liste Server 1 aus, und klicken Sie auf Anwenden.

        Navigate to Security and then AAA Servers Tab

    Konfigurieren der Wireless Clients für die PEAP-MS-CHAP v2-Authentifizierung

    Führen Sie diese Schritte aus, um den Wireless-Client mit dem Windows Zero Config Tool für die Verbindung mit dem PEAP-WLAN zu konfigurieren.

    1. Klicken Sie in der Taskleiste auf das Symbol Netzwerk. Klicken Sie auf die PEAP-SSID und dann auf Verbinden.

      Connect PEAP SSID

    2. Der Client muss nun mit dem Netzwerk verbunden sein. 

      Connect Client to Network

    3. Wenn die Verbindung ausfällt, versuchen Sie, erneut eine Verbindung zum WLAN herzustellen. Wenn das Problem weiterhin besteht, lesen Sie den Abschnitt Fehlerbehebung.

    Überprüfung

    Für diese Konfiguration ist derzeit kein Überprüfungsverfahren verfügbar.

    Fehlerbehebung

    Wenn Ihr Client keine Verbindung mit dem WLAN hergestellt hat, finden Sie in diesem Abschnitt Informationen, die Sie zur Fehlerbehebung bei der Konfiguration verwenden können.

    Es gibt zwei Tools, mit denen 802.1x-Authentifizierungsfehler diagnostiziert werden können: den Befehl debug client und die Ereignisanzeige in Windows.

    Wenn Sie ein Client-Debugging vom WLC aus durchführen, ist dies nicht ressourcenintensiv und hat keine Auswirkungen auf den Service. Um eine Debugsitzung zu starten, öffnen Sie die Befehlszeilenschnittstelle (CLI) des WLC, und geben Sie die MAC-Adresse des Debugclients ein, wobei die MAC-Adresse die MAC-Adresse des Wireless-Clients ist, der keine Verbindung herstellen kann. Versuchen Sie, während dieses Debugs eine Verbindung mit dem Client herzustellen. Für die CLI des WLC muss eine Ausgabe vorhanden sein, die ähnlich wie in diesem Beispiel aussieht:

    Output on the WLC

    Dies ist ein Beispiel für ein Problem, das bei einer fehlerhaften Konfiguration auftreten kann. Hier zeigt das WLC-Debugging an, dass der WLC in den Authentifizierungsstatus gewechselt ist, was bedeutet, dass der WLC auf eine Antwort vom NPS wartet. Dies ist in der Regel auf einen falschen gemeinsamen geheimen Schlüssel auf dem WLC oder dem NPS zurückzuführen. Sie können dies über die Windows Server-Ereignisanzeige bestätigen. Wenn Sie kein Protokoll finden, hat die Anforderung es nie an den NPS geschafft.

    Ein weiteres Beispiel aus dem WLC-Debugging ist ein Access-Reject. Eine Zugriffszurückweisung zeigt an, dass der NPS die Client-Anmeldeinformationen empfangen und zurückgewiesen hat. Dies ist ein Beispiel für einen Client, der eine Zugriffsablehnung empfängt:

    Client that Receives an Access-Reject

    Wenn eine Zugriffszurückweisung angezeigt wird, überprüfen Sie die Protokolle in den Windows Server-Ereignisprotokollen, um zu ermitteln, warum der NPS auf den Client mit einer Zugriffszurückweisung reagiert hat.

    Bei einer erfolgreichen Authentifizierung wird im Client-Debugging der Status "access-accept" (Akzeptieren) verwendet, wie in diesem Beispiel gezeigt:

    Successful Authentication has an Access-Accept in the Client Debug

    Wenn Sie Probleme mit Zugriffsverweigerungen und Zeitüberschreitungen bei Antworten beheben möchten, ist der Zugriff auf den RADIUS-Server erforderlich. Der WLC fungiert als Authentifizierer, der EAP-Nachrichten zwischen dem Client und dem RADIUS-Server weiterleitet. Ein RADIUS-Server, der mit einem Timeout bei Ablehnung oder Antwort antwortet, muss vom Hersteller des RADIUS-Dienstes überprüft und diagnostiziert werden.

    note-icon

    Anmerkung: TAC bietet keinen technischen Support für RADIUS-Server von Drittanbietern. In den Protokollen auf dem RADIUS-Server wird jedoch im Allgemeinen erläutert, warum eine Clientanforderung abgelehnt oder ignoriert wurde.

    Um Probleme mit Zugriffsverweigerungen und Timeouts für Antworten vom NPS zu beheben, überprüfen Sie die NPS-Protokolle in der Windows-Ereignisanzeige auf dem Server. 

    1. Klicken Sie auf Start > Administrator-Tools > Ereignisanzeige, um die Ereignisanzeige zu starten und die NPS-Protokolle zu überprüfen.
    2. Erweitern Sie Benutzerdefinierte Ansichten > Serverrollen > Netzwerkrichtlinie und Zugriff.

      Expand New Policy and Access

    In diesem Abschnitt der Ereignisansicht werden Protokolle der übergebenen und fehlgeschlagenen Authentifizierungen angezeigt. Untersuchen Sie diese Protokolle, um zu ermitteln, warum ein Client die Authentifizierung nicht weitergibt. Sowohl erfolgreiche als auch fehlgeschlagene Authentifizierungen werden als informativ angezeigt. Scrollen Sie durch die Protokolle, um den Benutzernamen zu finden, der nicht authentifiziert werden konnte und der eine Zugriffsablehnung erhalten hat, die auf den WLC-Debugs basiert.

    Dies ist ein Beispiel für einen NPS, wenn einem Benutzer der Zugriff verweigert wird:

    NPS Denies a User Access

    Wenn Sie eine deny-Anweisung in der Ereignisanzeige überprüfen, überprüfen Sie den Abschnitt Authentifizierungsdetails. In diesem Beispiel können Sie sehen, dass der NPS dem Benutzer den Zugriff aufgrund eines falschen Benutzernamens verweigert hat:

    NPS Denied the User Access Due to an Incorrect Username

    Die Ereignisansicht auf dem NPS hilft Ihnen auch, wenn Sie eine Fehlerbehebung durchführen müssen, wenn der WLC keine Antwort vom NPS erhält.  Dies wird in der Regel durch einen falschen gemeinsamen geheimen Schlüssel zwischen dem NPS und dem WLC verursacht.

    In diesem Beispiel verwirft der NPS die Anforderung vom WLC aufgrund eines falschen gemeinsamen geheimen Schlüssels:

    NPS Discards the Request from the WLC Due to an Incorrect Shared Secret

    Zugehörige Informationen

    Revisionsverlauf

    Überarbeitung Veröffentlichungsdatum Kommentare
    4.0
    04-Dec-2025
    Neu formatiert. Rezertifizierung.
    3.0
    14-Mar-2023
    Aktualisiert. Korrektur. Rezertifizierung.
    1.0
    24-Feb-2013
    Erstveröffentlichung
    TAC Authored

    Beiträge von Cisco Ingenieuren

    • Nick Tate
      Cisco Customer Delivery Architect

    War dieses Dokument hilfreich?

    FeedbackFeedback

    Cisco kontaktieren