Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundtheorie

Konventionen

Netzwerkdiagramm

Konfigurieren von Cisco Secure ACS für Windows 3.2

Zertifikat für den ACS-Server abrufen

Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher

Angeben zusätzlicher Zertifizierungsstellen, denen der ACS vertrauen sollte

Starten Sie den Dienst neu, und konfigurieren Sie PEAP-Einstellungen auf dem ACS.

Angeben und Konfigurieren des Access Points als AAA-Client

Konfigurieren der externen Benutzerdatenbanken

Starten Sie den Dienst neu

Konfigurieren des Cisco Access Points

Konfigurieren des Wireless-Clients

Konfigurieren der automatischen Registrierung des MS-Zertifikats

Beitreten zur Domäne

Installieren Sie das Stammzertifikat manuell auf dem Windows-Client.

Konfigurieren der Wireless-Netzwerke

Überprüfen

Fehlerbehebung

Zugehörige Informationen

Einführung

Dieses Dokument veranschaulicht, wie das Protected Extensible Authentication Protocol (PEAP) mit Cisco Secure ACS für Windows 3.2 konfiguriert wird.

Weitere Informationen zur Konfiguration eines sicheren Wireless-Zugriffs mithilfe von Wireless LAN-Controllern, der Microsoft Windows 2003-Software und dem Cisco Secure Access Control Server (ACS) 4.0 finden Sie unter Unified Wireless Networks with ACS 4.0 and Windows 2003 in PEAP.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine besonderen Voraussetzungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den unten stehenden Software- und Hardwareversionen.

- Cisco Secure ACS für Windows Version 3.2

- Microsoft Certificate Services (installiert als Enterprise Root Certificate Authority [CA])

Hinweis: Weitere Informationen finden Sie im schrittweisen Handbuch zum Einrichten einer Zertifizierungsstelle .

- DNS-Dienst mit Windows 2000 Server mit Service Pack 3

Hinweis: Wenn Probleme mit CA Server auftreten, installieren Sie Hotfix 323172 . Der Windows 2000 SP3 Client benötigt Hotfix 313664 , um die IEEE 802.1x-Authentifizierung zu aktivieren.

- Cisco Aironet 12.01T Wireless Access Point der Serie 1200

- IBM ThinkPad T30 mit Windows XP Professional und Service Pack 1

Die in diesem Dokument enthaltenen Informationen wurden aus Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Sie in einem Live-Netzwerk arbeiten, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen, bevor Sie es verwenden.

Hintergrundtheorie

Sowohl PEAP als auch EAP-TLS erstellen und verwenden einen TLS/Secure Socket Layer (SSL)-Tunnel. PEAP verwendet nur serverseitige Authentifizierung. Nur der Server verfügt über ein Zertifikat und beweist seine Identität gegenüber dem Client. EAP-TLS verwendet jedoch die gegenseitige Authentifizierung, bei der sowohl der ACS-Server (Authentication, Authorization, Accounting [AAA]) als auch die Clients Zertifikate besitzen und ihre Identität gegenseitig nachweisen.

PEAP ist praktisch, da Clients keine Zertifikate benötigen. EAP-TLS eignet sich für die Authentifizierung von Headless-Geräten, da Zertifikate keine Benutzerinteraktion erfordern.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions.

Netzwerkdiagramm

In diesem Dokument wird die im Diagramm unten dargestellte Netzwerkeinrichtung verwendet.

Konfigurieren von Cisco Secure ACS für Windows 3.2

Führen Sie die folgenden Schritte aus, um ACS 3.2 zu konfigurieren.

1. Erhalten Sie ein Zertifikat für den ACS-Server.

2. Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher.

3. Geben Sie zusätzliche Zertifizierungsstellen an, denen der ACS vertrauen soll.

4. Starten Sie den Dienst neu, und konfigurieren Sie PEAP-Einstellungen auf dem ACS.

5. Angeben und Konfigurieren des Access Points als AAA-Client.

6. Konfigurieren Sie die externen Benutzerdatenbanken.

7. Starten Sie den Dienst neu.

Zertifikat für den ACS-Server abrufen

Befolgen Sie diese Schritte, um ein Zertifikat zu erhalten.

1. Öffnen Sie auf dem ACS-Server einen Webbrowser, und navigieren Sie zum CA-Server, indem Sie http://CA-ip-address/certsrv in die Adressleiste eingeben. Melden Sie sich als Administrator bei der Domäne an.

2. Wählen Sie Zertifikat anfordern aus, und klicken Sie dann auf Weiter.

3. Wählen Sie Erweiterte Anforderung aus, und klicken Sie dann auf Weiter.

4. Wählen Sie eine Zertifikatsanforderung an diese Zertifizierungsstelle mithilfe eines Formulars senden aus, und klicken Sie dann auf Weiter.

5. Konfigurieren Sie die Zertifikatoptionen.

1. Wählen Sie Webserver als Zertifikatsvorlage aus. Geben Sie den Namen des ACS-Servers ein.

2. Legen Sie die Schlüssellänge auf 1024 fest. Wählen Sie die Optionen für Schlüssel als exportierbar markieren und Lokalen Maschinenspeicher verwenden aus. Konfigurieren Sie nach Bedarf weitere Optionen, und klicken Sie dann auf Senden.

Hinweis: Wenn Sie ein Warnfenster sehen, das auf eine Skriptverletzung verweist (abhängig von den Sicherheits-/Datenschutzeinstellungen Ihres Browsers), klicken Sie auf Ja, um fortzufahren.

6. Klicken Sie auf Zertifikat installieren.

Hinweis: Wenn Sie ein Warnfenster sehen, das auf eine Skriptverletzung verweist (abhängig von den Sicherheits-/Datenschutzeinstellungen Ihres Browsers), klicken Sie auf Ja, um fortzufahren.

7. Wenn die Installation erfolgreich war, wird eine Bestätigungsmeldung angezeigt.

Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher

Befolgen Sie diese Schritte, um ACS für die Verwendung des Zertifikats im Speicher zu konfigurieren.

1. Öffnen Sie einen Webbrowser, und navigieren Sie zum ACS-Server, indem Sie http://ACS-ip-address:2002/in die Adressleiste eingeben. Klicken Sie auf Systemkonfiguration und dann auf ACS Certificate Setup.

2. Klicken Sie auf ACS-Zertifikat installieren.

3. Wählen Sie Zertifikat aus Speicher verwenden aus. Geben Sie im Feld Certificate CN den Namen des Zertifikats ein, das Sie in Schritt 5a des Abschnitts Obtain a Certificate for the ACS Server zugewiesen haben. Klicken Sie auf Senden.

Dieser Eintrag muss mit dem Namen übereinstimmen, den Sie bei der erweiterten Zertifikatsanforderung im Feld Name eingegeben haben. Es ist der CN-Name im Betrefffeld des Serverzertifikats. Sie können das Serverzertifikat bearbeiten, um nach diesem Namen zu suchen. In diesem Beispiel lautet der Name "OurACS". Geben Sie nicht den KN-Namen des Emittenten ein.

4. Wenn die Konfiguration abgeschlossen ist, wird eine Bestätigungsmeldung angezeigt, dass die Konfiguration des ACS-Servers geändert wurde.

Hinweis: Sie müssen den ACS derzeit nicht neu starten.

Angeben zusätzlicher Zertifizierungsstellen, denen der ACS vertrauen sollte

Der ACS vertraut automatisch der Zertifizierungsstelle, die ein eigenes Zertifikat ausgestellt hat. Wenn die Client-Zertifikate von zusätzlichen Zertifizierungsstellen ausgestellt werden, müssen Sie die folgenden Schritte ausführen.

1. Klicken Sie auf Systemkonfiguration und dann auf ACS Certificate Setup.

2. Klicken Sie auf ACS Certificate Authority Setup, um der Liste der vertrauenswürdigen Zertifikate CAs hinzuzufügen. Geben Sie im Feld für Zertifizierungsstellenzertifikatdatei den Speicherort des Zertifikats ein, und klicken Sie dann auf Senden.

3. Klicken Sie auf Liste der Zertifikatsvertrauenslisten bearbeiten. Überprüfen Sie alle CAs, denen der ACS vertrauen soll, und deaktivieren Sie alle CAs, denen der ACS nicht vertrauen darf. Klicken Sie auf Senden.

Starten Sie den Dienst neu, und konfigurieren Sie PEAP-Einstellungen auf dem ACS.

Befolgen Sie diese Schritte, um den Dienst neu zu starten und PEAP-Einstellungen zu konfigurieren.

1. Klicken Sie auf Systemkonfiguration und dann auf Dienststeuerung.

2. Klicken Sie auf Neu starten, um den Dienst neu zu starten.

3. Um PEAP-Einstellungen zu konfigurieren, klicken Sie auf Systemkonfiguration und dann auf Globales Authentifizierungs-Setup.

4. Aktivieren Sie die beiden unten angezeigten Einstellungen, und belassen Sie alle anderen Einstellungen als Standard. Auf Wunsch können Sie zusätzliche Einstellungen festlegen, z. B. Fast Reconnect aktivieren. Wenn Sie fertig sind, klicken Sie auf Senden.

- EAP-MSCHAPv2 zulassen

- MS-CHAP-Authentifizierung Version 2 zulassen

Hinweis: Weitere Informationen zu Fast Connect finden Sie unter "Authentication Configuration Options" (Authentifizierungskonfigurationsoptionen) in der Systemkonfiguration: Authentifizierung und Zertifikate.

Angeben und Konfigurieren des Access Points als AAA-Client

Befolgen Sie diese Schritte, um den Access Point (AP) als AAA-Client zu konfigurieren.

1. Klicken Sie auf Netzwerkkonfiguration. Klicken Sie unter AAA-Clients auf Eintrag hinzufügen.

2. Geben Sie den Hostnamen des Access Points im Feld "AAA Client Hostname" und seine IP-Adresse im Feld "AAA Client IP Address" ein. Geben Sie im Feld Schlüssel einen gemeinsamen geheimen Schlüssel für den ACS und den Access Point ein. Wählen Sie als Authentifizierungsmethode RADIUS (Cisco Aironet) aus. Wenn Sie fertig sind, klicken Sie auf Senden.

Konfigurieren der externen Benutzerdatenbanken

Führen Sie diese Schritte aus, um die externen Benutzerdatenbanken zu konfigurieren.

Hinweis: Nur ACS 3.2 unterstützt PEAP-MS-CHAPv2 mit Computerauthentifizierung für eine Windows-Datenbank.

1. Klicken Sie auf Externe Benutzerdatenbanken und dann auf Datenbankkonfiguration. Klicken Sie auf Windows-Datenbank.

Hinweis: Wenn noch keine Windows-Datenbank definiert ist, klicken Sie auf Neue Konfiguration erstellen und klicken Sie anschließend auf Senden.

2. Klicken Sie auf Konfigurieren. Verschieben Sie unter Configure Domain List (Domänenliste konfigurieren) die SEC-SYD-Domäne von Available Domains (Verfügbare Domänen) in Domain List (Domänenliste).

3. Um die Computerauthentifizierung zu aktivieren, aktivieren Sie unter Windows EAP Settings die Option PEAP-Computerauthentifizierung zulassen. Ändern Sie nicht das Präfix für den Namen der Computerauthentifizierung. Microsoft verwendet derzeit "/host" (den Standardwert), um zwischen Benutzer- und Computerauthentifizierung zu unterscheiden. Wenn Sie möchten, aktivieren Sie die Option Kennwortänderung in PEAP zulassen. Wenn Sie fertig sind, klicken Sie auf Senden.

4. Klicken Sie auf Externe Benutzerdatenbanken und dann auf Unbekannte Benutzerrichtlinie. Wählen Sie die Option Folgende externe Benutzerdatenbanken überprüfen aus, und verschieben Sie dann mithilfe der Nach-rechts-Taste ( -> ) Windows-Datenbank aus externen Datenbanken in Ausgewählte Datenbanken. Wenn Sie fertig sind, klicken Sie auf Senden.

Starten Sie den Dienst neu

Wenn Sie die Konfiguration des ACS abgeschlossen haben, führen Sie die folgenden Schritte aus, um den Service neu zu starten.

1. Klicken Sie auf Systemkonfiguration und dann auf Dienststeuerung.

2. Klicken Sie auf Neu starten.

Konfigurieren des Cisco Access Points

Befolgen Sie diese Schritte, um den Access Point so zu konfigurieren, dass er den ACS als Authentifizierungsserver verwendet.

1. Öffnen Sie einen Webbrowser, und navigieren Sie zum Access Point, indem Sie http://AP-ip-address/certsrv in die Adressleiste eingeben. Klicken Sie in der Symbolleiste auf Setup.

2. Klicken Sie unter Dienste auf Sicherheit.

3. Klicken Sie auf Authentifizierungsserver.

Hinweis: Wenn Sie Konten auf dem Access Point konfiguriert haben, müssen Sie sich anmelden.

4. Geben Sie die Konfigurationseinstellungen des Authentifizierers ein.

- Wählen Sie 802.1x-2001 für die 802.1x-Protokollversion (für EAP-Authentifizierung) aus.

- Geben Sie die IP-Adresse des ACS-Servers in das Feld Servername/IP ein.

- Wählen Sie RADIUS als Servertyp aus.

- Geben Sie 1645 oder 1812 in das Feld Port ein.

- Geben Sie den gemeinsamen geheimen Schlüssel ein, den Sie in Schritt 2 von Angeben und Konfigurieren des Access Points als AAA-Client angegeben haben.

- Aktivieren Sie die Option für die EAP-Authentifizierung, um anzugeben, wie der Server verwendet werden soll.

Wenn Sie fertig sind, klicken Sie auf OK.

5. Klicken Sie auf Radio Data Encryption (WEP).

6. Geben Sie die internen Verschlüsselungseinstellungen ein.

- Wählen Sie Full Encryption aus, um die Stufe der Datenverschlüsselung festzulegen.

- Geben Sie einen Verschlüsselungsschlüssel ein, und legen Sie die Schlüssellänge auf 128 Bit fest, die als Sendeschlüssel verwendet werden soll.

Wenn Sie fertig sind, klicken Sie auf OK.

7. Vergewissern Sie sich, dass Sie den richtigen Service Set Identifier (SSID) verwenden, indem Sie Network > Service Sets > Select the SSID Idx (Netzwerk > Service Sets > SSID-ID auswählen) aufrufen und nach Abschluss auf OK klicken.

Das nachfolgende Beispiel zeigt die Standard-SSID "tsunami".

Konfigurieren des Wireless-Clients

Führen Sie die folgenden Schritte aus, um ACS 3.2 zu konfigurieren.

1. Konfigurieren Sie die automatische Registrierung des MS-Zertifikats.

2. Treten Sie der Domäne bei.

3. Installieren Sie das Stammzertifikat manuell auf dem Windows-Client.

4. Konfigurieren Sie das Wireless-Netzwerk.

Konfigurieren der automatischen Registrierung des MS-Zertifikats

Führen Sie diese Schritte aus, um die Domäne für die automatische Registrierung von Computerzertifikaten auf dem Domänencontroller Kant zu konfigurieren.

1. Gehen Sie zu Systemsteuerung > Verwaltung > Active Directory-Benutzer und -Computer öffnen.

2. Klicken Sie mit der rechten Maustaste auf Domäne sec-syd, und wählen Sie Eigenschaften aus dem Untermenü aus.

3. Wählen Sie die Registerkarte Gruppenrichtlinie aus. Klicken Sie auf Standard-Domänenrichtlinie und dann auf Bearbeiten.

4. Gehen Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien für öffentlichen Schlüssel > Einstellungen für automatische Zertifikatsanforderung.

5. Gehen Sie in der Menüleiste zu Aktion > Neu > Automatische Zertifikatsanforderung und klicken Sie auf Weiter.

6. Wählen Sie Computer aus, und klicken Sie auf Weiter.

7. Überprüfen Sie die CA.

In diesem Beispiel heißt die CA "Unsere TAC-Zertifizierungsstelle".

8. Klicken Sie auf Weiter und dann auf Fertig stellen.

Beitreten zur Domäne

Gehen Sie folgendermaßen vor, um den Wireless-Client der Domäne hinzuzufügen.

Hinweis: Um diese Schritte durchführen zu können, muss der Wireless-Client über eine Kabelverbindung oder eine Wireless-Verbindung mit deaktivierter 802.1x-Sicherheit mit der CA verbunden sein.

1. Melden Sie sich bei Windows XP als lokaler Administrator an.

2. Gehen Sie zu Systemsteuerung > Leistung und Wartung > System.

3. Wählen Sie die Registerkarte Computername aus, und klicken Sie dann auf Ändern. Geben Sie den Hostnamen in das Feld für den Computernamen ein. Wählen Sie Domain (Domäne) aus, und geben Sie dann den Namen der Domäne ein (in diesem Beispiel SEC-SYD). Klicken Sie auf OK.

4. Wenn ein Anmeldungsdialogfeld angezeigt wird, melden Sie sich bei der Domäne an, indem Sie sich mit einem Konto anmelden, das über die Berechtigung zum Beitritt zur Domäne verfügt.

5. Wenn der Computer der Domäne erfolgreich beigetreten ist, starten Sie den Computer neu. Der Computer ist Mitglied der Domäne. Da wir die automatische Registrierung des Rechners eingerichtet haben, verfügt der Computer über ein Zertifikat für die installierte CA sowie ein Zertifikat für die maschinelle Authentifizierung.

Installieren Sie das Stammzertifikat manuell auf dem Windows-Client.

Führen Sie diese Schritte aus, um das Stammzertifikat manuell zu installieren.

Hinweis: Wenn Sie die automatische Registrierung des Computers bereits eingerichtet haben, benötigen Sie diesen Schritt nicht. Fahren Sie mit Konfigurieren des Wireless-Netzwerks fort.

1. Öffnen Sie auf dem Windows-Client-Computer einen Webbrowser, und navigieren Sie zum Microsoft CA-Server, indem Sie http://root-CA-ip-address/certsrv in die Adressleiste eingeben. Melden Sie sich bei der CA-Site an.

In diesem Beispiel ist die IP-Adresse der CA 10.66.79.241.

2. Wählen Sie Zertifikat der Zertifizierungsstelle abrufen oder die Zertifizierungsstellen-Widerrufsliste aus, und klicken Sie auf Weiter.

3. Klicken Sie auf Zertifizierungsstellenzertifikat herunterladen, um das Zertifikat auf dem lokalen Computer zu speichern.

4. Öffnen Sie das Zertifikat, und klicken Sie auf Zertifikat installieren.

Hinweis: Im folgenden Beispiel zeigt das Symbol links oben an, dass das Zertifikat noch nicht vertrauenswürdig (installiert) ist.

5. Installieren Sie das Zertifikat in Current User/Trusted Root Certificate Authorities.

1. Klicken Sie auf Weiter.

2. Wählen Sie Automatisch den Zertifikatsspeicher basierend auf dem Zertifikatstyp aus, und klicken Sie auf Weiter.

3. Klicken Sie auf Fertig stellen, um das Stammzertifikat automatisch unter Current User/Trusted Root Certificate Authorities zu platzieren.

Konfigurieren der Wireless-Netzwerke

Gehen Sie folgendermaßen vor, um die Optionen für Wireless-Netzwerke festzulegen.

1. Melden Sie sich als Domänenbenutzer bei der Domäne an.

2. Gehen Sie zu Systemsteuerung > Netzwerk- und Internetverbindungen > Netzwerkverbindungen. Klicken Sie mit der rechten Maustaste auf Wireless-Verbindung, und wählen Sie im angezeigten Untermenü die Option Eigenschaften aus.

3. Wählen Sie die Registerkarte Wireless-Netzwerke aus. Wählen Sie aus der Liste der verfügbaren Netzwerke das Wireless-Netzwerk aus (unter Verwendung des SSID-Namens des Access Points angezeigt), und klicken Sie dann auf Konfigurieren.

4. Aktivieren Sie auf der Registerkarte Authentication (Authentifizierung) des Fensters Network Properties (Netzwerkeigenschaften) die Option Enable IEEE 802.1x authentication für dieses Netzwerk. Wählen Sie als EAP-Typ Protected EAP (PEAP) für den EAP-Typ aus, und klicken Sie dann auf Eigenschaften.

Hinweis: Um die Computerauthentifizierung zu aktivieren, aktivieren Sie die Option Authentifizierung als Computer, wenn Computerinformationen verfügbar sind.

5. Überprüfen Sie das Serverzertifikat, und überprüfen Sie dann die Stammzertifizierungsstelle für das Unternehmen, das von PEAP-Clients und ACS-Geräten verwendet wird. Wählen Sie Secure Password (EAP-MSCHAP v2) für die Authentifizierungsmethode aus, und klicken Sie dann auf Konfigurieren.

In diesem Beispiel heißt die Root-CA "Unsere TAC-Zertifizierungsstelle".

6. Um die einmalige Anmeldung zu aktivieren, aktivieren Sie die Option Automatisch meinen Windows-Anmeldenamen und mein Windows-Kennwort (und gegebenenfalls meine Domäne). Klicken Sie auf OK, um diese Einstellung zu akzeptieren, und klicken Sie dann erneut auf OK, um zum Fenster für die Netzwerkeigenschaften zurückzukehren.

Bei einmaliger Anmeldung für PEAP verwendet der Client den Windows-Anmeldenamen für die PEAP-Authentifizierung, sodass der Benutzer das Kennwort nicht erneut eingeben muss.

7. Aktivieren Sie auf der Registerkarte Association (Zuordnung) des Fensters mit den Netzwerkeigenschaften die Optionen für Datenverschlüsselung (WEP aktiviert) und der Schlüssel wird automatisch für mich bereitgestellt. Klicken Sie auf OK und anschließend erneut auf OK, um das Fenster Netzwerkkonfiguration zu schließen.

Überprüfen

Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.

- Um zu überprüfen, ob der Wireless-Client authentifiziert wurde, gehen Sie auf dem Wireless-Client zu Systemsteuerung > Netzwerk- und Internetverbindungen > Netzwerkverbindungen. Gehen Sie in der Menüleiste zu Ansicht > Kacheln. Die Wireless-Verbindung sollte die Meldung "Authentication Success" (Authentifizierung erfolgreich) anzeigen.

- Um zu überprüfen, ob Wireless-Clients authentifiziert wurden, gehen Sie auf der ACS-Webschnittstelle zu Reports and Activity > Passed Authentications > Passed Authentications active.csv.

Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.

- Überprüfen Sie, ob MS Certificate Services als Enterprise-Root-CA auf einem Windows 2000 Advanced-Server mit Service Pack 3 installiert wurden. Hotfixe 323172 und 313664 müssen nach der Installation von MS Certificate Services installiert werden. Wenn MS Certificate Services neu installiert werden, muss auch Hotfix 323172 neu installiert werden.

- Überprüfen Sie, ob Sie Cisco Secure ACS für Windows 3.2 mit Windows 2000 und Service Pack 3 verwenden. Stellen Sie sicher, dass die Hotfixe 323172 und 313664 installiert wurden.

- Wenn die maschinelle Authentifizierung auf dem Wireless-Client fehlschlägt, wird keine Netzwerkverbindung auf der Wireless-Verbindung hergestellt. Nur Konten, deren Profile auf dem Wireless-Client zwischengespeichert sind, können sich bei der Domäne anmelden. Der Computer muss an ein kabelgebundenes Netzwerk angeschlossen oder für eine Wireless-Verbindung ohne 802.1x-Sicherheit eingerichtet werden.

- Wenn die automatische Registrierung bei der CA beim Beitritt zur Domäne fehlschlägt, überprüfen Sie die Ereignisanzeige aus möglichen Gründen. Überprüfen Sie die DNS-Einstellungen auf dem Laptop.

- Wenn das ACS-Zertifikat vom Client zurückgewiesen wird (was von den gültigen Daten des Zertifikats "ab" und "bis", den Datums- und Uhrzeiteinstellungen des Clients und der Vertrauenswürdigkeit der Zertifizierungsstelle abhängt), wird es vom Client abgelehnt, und die Authentifizierung schlägt fehl. Der ACS protokolliert die fehlgeschlagene Authentifizierung in der Webschnittstelle unter Berichte und Aktivität > Fehlgeschlagene Versuche > Fehlgeschlagene Versuche XXX.csv mit dem Authentifizierungsfehler-Code, ähnlich dem Beispiel "EAP-TLS oder PEAP-Authentifizierung ist während des SSL-Handshakes fehlgeschlagen". Die erwartete Fehlermeldung in der Datei CSAuth.log ähnelt der folgenden.

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- In den Protokollen auf der ACS-Webschnittstelle werden unter Reports und Activity > Passed Authentications > Passed Authentications XXX.csv und Reports and Activity > Failed Attempts > Failed Attempts XXX.csv, PEAP-Authentifizierungen im Format <DOMAIN>\<user-id> angezeigt. EAP-TLS-Authentifizierungen werden im Format <Benutzer-ID>@<Domäne> angezeigt.

- Um PEAP Fast Reconnect zu verwenden, müssen Sie diese Funktion sowohl auf dem ACS-Server als auch auf dem Client aktivieren.

- Wenn die PEAP-Kennwortänderung aktiviert wurde, können Sie das Kennwort nur ändern, wenn das Kennwort eines Kontos veraltet ist oder wenn das Konto bei der nächsten Anmeldung als Kennwort geändert wird.

- Sie können das Zertifikat und die Vertrauenswürdigkeit des ACS-Servers überprüfen, indem Sie die folgenden Schritte ausführen.

1. Melden Sie sich bei Windows auf dem ACS-Server mit einem Konto mit Administratorrechten an. Öffnen Sie Microsoft Management Console, indem Sie Start > Ausführen wählen, mmc eingeben und auf OK klicken.

2. Gehen Sie in der Menüleiste zu Konsole > Snap-In hinzufügen/entfernen, und klicken Sie dann auf Hinzufügen.

3. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

4. Wählen Sie Computerkonto, klicken Sie auf Weiter, und wählen Sie Lokaler Computer (der Computer, auf dem diese Konsole ausgeführt wird) aus.

5. Klicken Sie auf Fertig stellen, auf Schließen und dann auf OK.

6. Um zu überprüfen, ob der ACS-Server über ein gültiges serverseitiges Zertifikat verfügt, gehen Sie zu Console Root > Certificates (Local Computer) > ACSCertStore > Certificates. Überprüfen Sie, ob ein Zertifikat für den ACS-Server vorhanden ist (in diesem Beispiel unserACS genannt). Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Elemente.

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- "Dieses Zertifikat soll - Sichert die Identität eines Remote-Computers."

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

- "Sie haben einen privaten Schlüssel, der diesem Zertifikat entspricht."

7. Überprüfen Sie auf der Registerkarte Details, ob das Feld Version den Wert V3 aufweist und das Feld Enhanced Key Usage (Erweiterte Schlüsselverwendung) über Serverauthentifizierung (1.3.6.1.5.5.7.3.1) verfügt.

8. Um zu überprüfen, ob der ACS-Server dem CA-Server vertraut, gehen Sie zu Console Root > Certificates (Local Computer) > Trusted Root Certification Authorities > Certificates. Überprüfen Sie, ob ein Zertifikat für den CA-Server vorhanden ist (in diesem Beispiel Unsere TAC-Zertifizierungsstelle). Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Elemente.

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- Der Zweck des Zertifikats ist richtig.

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

Wenn der ACS und der Client nicht dieselbe Root-CA verwendet haben, dann überprüfen Sie, ob die gesamte Kette der CA-Server-Zertifikate installiert wurde. Gleiches gilt, wenn das Zertifikat von einer Behörde mit Unterzeugnis bezogen wurde.

- Sie können die Vertrauenswürdigkeit des Kunden überprüfen, indem Sie die unten aufgeführten Schritte ausführen.

1. Melden Sie sich mit dem Konto des Clients bei Windows auf dem Wireless-Client an. Öffnen Sie Microsoft Management Console, indem Sie Start > Ausführen wählen, mmc eingeben und auf OK klicken.

2. Gehen Sie in der Menüleiste zu Konsole > Snap-In hinzufügen/entfernen, und klicken Sie dann auf Hinzufügen.

3. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

4. Klicken Sie auf Schließen und dann auf OK.

5. Um zu überprüfen, ob das Profil des Clients dem CA-Server vertraut, gehen Sie zu Console Root > Certificates - Current User > Trusted Root Certification Authority > Certificates. Überprüfen Sie, ob ein Zertifikat für den CA-Server vorhanden ist (in diesem Beispiel Unsere TAC-Zertifizierungsstelle). Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Elemente.

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- Der Zweck des Zertifikats ist richtig.

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

Wenn der ACS und der Client nicht dieselbe Root-CA verwendet haben, dann überprüfen Sie, ob die gesamte Kette der CA-Server-Zertifikate installiert wurde. Gleiches gilt, wenn das Zertifikat von einer Behörde mit Unterzeugnis bezogen wurde.

- Überprüfen Sie die ACS-Einstellungen, wie im Abschnitt Konfiguration von Cisco Secure ACS für Windows 3.2 beschrieben.

- Überprüfen Sie die AP-Einstellungen wie im Abschnitt Konfiguration des Cisco Access Points beschrieben.

- Überprüfen Sie die Einstellungen des Wireless-Clients, wie im Abschnitt Konfiguration des Wireless-Clients beschrieben.

- Überprüfen Sie, ob das Benutzerkonto in der internen Datenbank des AAA-Servers oder in einer der konfigurierten externen Datenbanken vorhanden ist. Stellen Sie sicher, dass das Konto nicht deaktiviert wurde.

Zugehörige Informationen

- Support-Seite für Cisco Secure ACS für Windows

- EAP-TLS-Implementierungsleitfaden für Wireless LAN-Netzwerke

- Abrufen von Version- und AAA-Debuginformationen für Cisco Secure ACS für Windows

- Technischer Support - Cisco Systems