La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.
Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).
In questo documento viene descritto come configurare il protocollo PEAP con autenticazione MS-CHAP con Microsoft NPS come server RADIUS.
Cisco raccomanda la conoscenza dei seguenti argomenti:
Prima di provare la configurazione, verificare che siano soddisfatti i seguenti requisiti:
Per informazioni sull'installazione iniziale e sulla configurazione dei Cisco Wireless Controller serie 5508, fare riferimento alla Guida all'installazione di Cisco Wireless Controller serie 5500.
Nota: Questo documento ha lo scopo di fornire ai lettori un esempio della configurazione richiesta su un server Microsoft per l'autenticazione PEAP-MS-CHAP. La configurazione del server Microsoft Windows illustrata in questo documento è stata testata in laboratorio e ha funzionato come previsto. In caso di problemi con la configurazione, contattare Microsoft per assistenza. Il Cisco Technical Assistance Center (TAC) non supporta la configurazione del server Microsoft Windows.
Le guide all'installazione e alla configurazione di Microsoft Windows 2008 sono disponibili in Microsoft Tech Net.
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.
In questo documento viene fornita una configurazione di esempio per l'autenticazione PEAP (Protected Extensible Authentication Protocol) con MS-CHAP (Microsoft Challenge Handshake Authentication Protocol) versione 2 in una rete wireless unificata Cisco con Server dei criteri di rete Microsoft come server RADIUS.
PEAP utilizza TLS (Transport Level Security) per creare un canale crittografato tra un client PEAP autenticato, ad esempio un laptop wireless, e un autenticatore PEAP, ad esempio Server dei criteri di rete Microsoft o qualsiasi server RADIUS. PEAP non specifica un metodo di autenticazione, ma fornisce una protezione aggiuntiva per altri protocolli di autenticazione estensibili (EAP), ad esempio EAP-MS-CHAP v2, che possono funzionare tramite il canale crittografato TLS fornito da PEAP. Il processo di autenticazione PEAP è costituito da due fasi principali.
Il client wireless viene associato all'access point. Un'associazione basata su IEEE 802.11 fornisce un'autenticazione a sistema aperto o a chiave condivisa prima che venga creata un'associazione sicura tra il client e il punto di accesso. Dopo aver stabilito l'associazione basata su IEEE 802.11 tra il client e il punto di accesso, la sessione TLS viene negoziata con l'access point. Al termine dell'autenticazione tra il client wireless e Server dei criteri di rete, la sessione TLS viene negoziata tra il client e Server dei criteri di rete. La chiave derivata in questa negoziazione viene utilizzata per crittografare tutte le comunicazioni successive.
La comunicazione EAP, che include la negoziazione EAP, avviene all'interno del canale TLS creato da PEAP nella prima fase del processo di autenticazione PEAP. Il Server dei criteri di rete autentica il client wireless con EAP-MS-CHAP v2. Il LAP e il controller inoltrano messaggi solo tra il client wireless e il server RADIUS. Il controller WLC (Wireless LAN Controller) e il LAP non possono decrittografare questi messaggi perché non è l'endpoint TLS.
La sequenza di messaggi RADIUS per un tentativo di autenticazione riuscito (in cui l'utente ha fornito credenziali valide basate su password con PEAP-MS-CHAP v2) è:
In questa sezione vengono presentate le informazioni necessarie per configurare PEAP-MS-CHAP v2.
Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi. Solo gli utenti Cisco registrati possono accedere agli strumenti e alle informazioni interne di Cisco.
Questa configurazione utilizza la seguente configurazione di rete:
Esempio di rete
In questa configurazione, un server Microsoft Windows 2008 svolge i seguenti ruoli:
Il server si connette alla rete cablata tramite uno switch di layer 2, come mostrato. Il WLC e il LAP registrato si connettono alla rete anche tramite lo switch di layer 2.
I client wireless utilizzano l'autenticazione Wi-Fi Protected Access 2 (WPA2) - PEAP-MS-CHAP v2 per connettersi alla rete wireless.
L'obiettivo di questo esempio è configurare il server Microsoft 2008, il controller LAN wireless e il punto di accesso Light Weight per autenticare i client wireless con l'autenticazione PEAP-MS-CHAP v2. Questo processo prevede tre fasi principali:
In questo esempio, una configurazione completa del server Microsoft Windows 2008 include i seguenti passaggi:
Completare questa procedura per configurare il server Microsoft Windows 2008 come controller di dominio:






L'installazione procede e viene completata.












L'installazione procede.


Il servizio DHCP nel server Microsoft 2008 viene utilizzato per fornire indirizzi IP ai client wireless. Completare questa procedura per installare e configurare i servizi DHCP:













L'installazione procede.

Il server DHCP è installato.













PEAP con EAP-MS-CHAP v2 convalida il server RADIUS in base al certificato presente sul server. Il certificato server deve inoltre essere rilasciato da una CA pubblica considerata attendibile dal computer client, ovvero il certificato CA pubblico esiste già nella cartella Autorità di certificazione radice attendibile nell'archivio certificati del computer client.
Completare la procedura seguente per configurare il server Microsoft Windows 2008 come server CA che rilascia il certificato al Server dei criteri di rete:














Completare questa procedura per connettere i client alla rete cablata e scaricare le informazioni specifiche del dominio dal nuovo dominio:








In questa installazione Server dei criteri di rete viene utilizzato come server RADIUS per autenticare i client wireless con l'autenticazione PEAP. Per installare e configurare Server dei criteri di rete nel server Microsoft Windows 2008, completare la procedura seguente:








Per installare il certificato del computer per Server dei criteri di rete, completare la procedura seguente:










Completare la procedura seguente per configurare Server dei criteri di rete per l'autenticazione:

















In questo esempio il database utenti viene gestito in Active Directory. Per aggiungere utenti al database di Active Directory, effettuare le operazioni riportate di seguito.



Configurare le periferiche wireless (i Wireless LAN Controller e LAP) per questa installazione.
Configurare il WLC in modo che utilizzi Server dei criteri di rete come server di autenticazione. Per inoltrare le credenziali dell'utente a un server RADIUS esterno, è necessario configurare il WLC. Il server RADIUS esterno convalida quindi le credenziali dell'utente e fornisce l'accesso ai client wireless.
Completare questa procedura per aggiungere Server dei criteri di rete come server RADIUS nella pagina Sicurezza > Autenticazione RADIUS:


Configurare l'identificatore del set di servizi (SSID) (WLAN) a cui si connettono i client wireless. In questo esempio, creare il SSID e denominarlo PEAP.
Definire l'autenticazione di layer 2 come WPA2 in modo che i client eseguano l'autenticazione basata su EAP (PEAP-MS-CHAP v2 in questo esempio) e utilizzino lo standard AES (Advanced Encryption Standard) come meccanismo di crittografia. Mantenere tutti gli altri valori ai valori predefiniti.
Nota: In questo documento la WLAN è associata alle interfacce di gestione. Se la rete contiene più VLAN, è possibile creare una VLAN separata e associarla all'SSID. Per informazioni su come configurare le VLAN sui WLC, fare riferimento all'esempio di configurazione delle VLAN sui controller LAN wireless.
Per configurare una WLAN sul WLC, completare i seguenti passaggi:




Completare la procedura descritta di seguito per configurare il client wireless con lo strumento Zero Config di Windows per la connessione alla WLAN PEAP.


Attualmente non è disponibile una procedura di verifica per questa configurazione.
Se il client non si è connesso alla WLAN, in questa sezione vengono fornite informazioni che è possibile utilizzare per risolvere i problemi relativi alla configurazione.
Per diagnosticare gli errori di autenticazione 802.1x è possibile utilizzare due strumenti: utilizzare il comando debug client e il Visualizzatore eventi di Windows.
Se si esegue il debug di un client dal WLC, non si tratta di un'operazione che richiede molte risorse e non influisce sul servizio. Per avviare una sessione di debug, aprire l'interfaccia della riga di comando (CLI) del WLC e immettere debug client mac address, dove mac address è l'indirizzo mac wireless del client wireless che non è in grado di connettersi. Durante l'esecuzione del debug, provare a connettere il client; sulla CLI del WLC, deve essere presente un output simile a quello dell'esempio seguente:

Questo è un esempio di un problema che potrebbe verificarsi con una configurazione errata. In questo caso, il debug WLC mostra che il WLC è passato allo stato di autenticazione, ossia è in attesa di una risposta dal Server dei criteri di rete. Ciò è in genere dovuto a un segreto condiviso non corretto sul WLC o sul Server dei criteri di rete. È possibile verificare questa condizione tramite il Visualizzatore eventi di Windows Server. Se non si trova un registro, la richiesta non è mai stata inviata al Server dei criteri di rete.
Un altro esempio restituito dal debug WLC è access-reject. Un messaggio di rifiuto di accesso indica che il Server dei criteri di rete ha ricevuto e rifiutato le credenziali del client. Questo è un esempio di client che riceve un messaggio di rifiuto di accesso:
Quando viene visualizzato un messaggio di rifiuto di accesso, controllare i registri nei registri eventi di Windows Server per determinare il motivo per cui il Server dei criteri di rete ha risposto al client con un messaggio di rifiuto di accesso.
Se l'autenticazione ha esito positivo, nel debug del client è presente access-accept, come mostrato nell'esempio seguente:
Per risolvere i problemi di rifiuto di accesso e di timeout di risposta, è necessario accedere al server RADIUS. Il WLC funge da autenticatore per il passaggio dei messaggi EAP tra il client e il server RADIUS. Il produttore del servizio RADIUS deve esaminare e diagnosticare un server RADIUS che risponde con un timeout di accesso, rifiuto o risposta.
Nota: TAC non fornisce supporto tecnico per server RADIUS di terze parti; tuttavia, i registri sul server RADIUS spiegano in genere il motivo per cui una richiesta client è stata rifiutata o ignorata.
Per risolvere i problemi relativi ai rifiuti di accesso e ai timeout di risposta da Server dei criteri di rete, esaminare i registri di Server dei criteri di rete nel Visualizzatore eventi di Windows sul server.

In questa sezione della Visualizzazione eventi sono presenti registri di autenticazioni passate e non riuscite. Esaminare questi registri per risolvere i problemi relativi al mancato passaggio dell'autenticazione da parte di un client. Sia le autenticazioni passate che quelle non riuscite vengono visualizzate come informazioni. Scorrere i log per trovare il nome utente che non è stato autenticato e che ha ricevuto un rifiuto di accesso basato sui debug WLC.
Questo è un esempio di Server dei criteri di rete in cui viene negato l'accesso a un utente:
Quando si esamina un'istruzione di rifiuto nel Visualizzatore eventi, esaminare la sezione Dettagli autenticazione. In questo esempio è possibile notare che il Server dei criteri di rete ha negato l'accesso all'utente a causa di un nome utente non corretto:
La Visualizzazione eventi nel Server dei criteri di rete consente inoltre di risolvere i problemi se il WLC non riceve una risposta dal Server dei criteri di rete. Ciò è in genere causato da un segreto condiviso non corretto tra il Server dei criteri di rete e il WLC.
In questo esempio, il Server dei criteri di rete ignora la richiesta del WLC a causa di un segreto condiviso non corretto:

| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
4.0 |
04-Dec-2025
|
Riformattato. Certificazione. |
3.0 |
14-Mar-2023
|
Aggiornato. Corretto. Certificazione. |
1.0 |
24-Feb-2013
|
Versione iniziale |
Feedback