Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundtheorie

Konventionen

Netzwerkdiagramm

Konfigurieren von Cisco Secure ACS für Windows 3.2

Zertifikat für den ACS-Server abrufen

Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher

Angeben zusätzlicher Zertifizierungsstellen, denen der ACS vertrauen sollte

Starten Sie den Dienst neu, und konfigurieren Sie die EAP-TLS-Einstellungen auf dem ACS.

Angeben und Konfigurieren des Access Points als AAA-Client

Konfigurieren der externen Benutzerdatenbanken

Starten Sie den Dienst neu

Konfigurieren der automatischen Registrierung des MS-Zertifikats

Konfigurieren des Cisco Access Points

Konfigurieren des Wireless-Clients

Beitreten zur Domäne

Zertifikat für den Benutzer abrufen

Konfigurieren der Wireless-Netzwerke

Überprüfen

Fehlerbehebung

Zugehörige Informationen

Einführung

In diesem Dokument wird beschrieben, wie Sie Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) mit dem Cisco Secure Access Control System (ACS) für Windows 3.2 konfigurieren.

Hinweis: Die Maschinenauthentifizierung wird von der Novell Certificate Authority (CA) nicht unterstützt. ACS kann EAP-TLS verwenden, um die Systemauthentifizierung für Microsoft Windows Active Directory zu unterstützen. Der Endbenutzer-Client kann das Protokoll für die Benutzerauthentifizierung auf dasselbe Protokoll beschränken, das für die Computerauthentifizierung verwendet wird. Das heißt, die Verwendung von EAP-TLS für die maschinelle Authentifizierung kann die Verwendung von EAP-TLS für die Benutzerauthentifizierung erfordern. Weitere Informationen zur Computerauthentifizierung finden Sie im Abschnitt Computerauthentifizierung im Benutzerhandbuch für Cisco Secure Access Control Server 4.1.

Hinweis: Wenn der ACS für die Authentifizierung von Computern über EAP-TLS eingerichtet wurde und der ACS für die maschinelle Authentifizierung eingerichtet wurde, muss der Client so konfiguriert werden, dass er nur die maschinelle Authentifizierung durchführt. Weitere Informationen finden Sie unter Aktivieren der Nur-Computer-Authentifizierung für ein 802.1X-basiertes Netzwerk in Windows Vista, Windows Server 2008 und Windows XP Service Pack 3.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine besonderen Voraussetzungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den unten stehenden Software- und Hardwareversionen.

- Cisco Secure ACS für Windows Version 3.2

- Microsoft Certificate Services (installiert als Enterprise Root Certificate Authority [CA])

Hinweis: Weitere Informationen finden Sie im schrittweisen Handbuch zum Einrichten einer Zertifizierungsstelle .

- DNS-Dienst mit Windows 2000 Server mit Service Pack 3 und Hotfix 323172

Hinweis: Wenn Probleme mit CA Server auftreten, installieren Sie Hotfix 323172 . Der Windows 2000 SP3 Client benötigt Hotfix 313664 , um die IEEE 802.1x-Authentifizierung zu aktivieren.

- Cisco Aironet 12.01T Wireless Access Point der Serie 1200

- IBM ThinkPad T30 mit Windows XP Professional und Service Pack 1

Die in diesem Dokument enthaltenen Informationen wurden aus Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Sie in einem Live-Netzwerk arbeiten, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen, bevor Sie es verwenden.

Hintergrundtheorie

Sowohl EAP-TLS als auch Protected Extensible Authentication Protocol (PEAP) erstellen und verwenden einen TLS/Secure Socket Layer (SSL)-Tunnel. EAP-TLS verwendet gegenseitige Authentifizierung, bei der sowohl der ACS-Server (Authentication, Authorization, Accounting [AAA]) als auch die Clients Zertifikate besitzen und ihre Identitäten untereinander nachweisen. PEAP verwendet jedoch nur die serverseitige Authentifizierung. Nur der Server verfügt über ein Zertifikat und beweist seine Identität gegenüber dem Client.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions.

Netzwerkdiagramm

In diesem Dokument wird die im Diagramm unten dargestellte Netzwerkeinrichtung verwendet.

Konfigurieren von Cisco Secure ACS für Windows 3.2

Folgen Sie den Schritten unten, um ACS 3.2 zu konfigurieren.

1. Erhalten Sie ein Zertifikat für den ACS-Server.

2. Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher.

3. Geben Sie zusätzliche Zertifizierungsstellen an, denen der ACS vertrauen soll.

4. Starten Sie den Dienst neu, und konfigurieren Sie PEAP-Einstellungen auf dem ACS.

5. Angeben und Konfigurieren des Access Points als AAA-Client.

6. Konfigurieren Sie die externen Benutzerdatenbanken.

7. Starten Sie den Dienst neu.

Zertifikat für den ACS-Server abrufen

Befolgen Sie diese Schritte, um ein Zertifikat zu erhalten.

1. Öffnen Sie auf dem ACS-Server einen Webbrowser, und geben Sie http://CA-ip-address/certsrv ein, um auf den CA-Server zuzugreifen.

2. Melden Sie sich als Administrator bei der Domäne an.

3. Wählen Sie Zertifikat anfordern aus, und klicken Sie dann auf Weiter.

4. Wählen Sie Erweiterte Anforderung aus, und klicken Sie dann auf Weiter.

5. Wählen Sie eine Zertifikatsanforderung an diese Zertifizierungsstelle mithilfe eines Formulars senden aus, und klicken Sie dann auf Weiter.

6. Konfigurieren Sie die Zertifikatoptionen:

1. Wählen Sie Webserver als Zertifikatsvorlage aus, und geben Sie den Namen des ACS-Servers ein.

2. Geben Sie 1024 im Feld Schlüsselgröße ein, und aktivieren Sie die Kontrollkästchen Schlüssel als exportierbar markieren und Lokalen Maschinenspeicher verwenden.

3. Konfigurieren Sie nach Bedarf weitere Optionen, und klicken Sie dann auf Senden.

Hinweis: Wenn das Dialogfeld "Potenzielle Skriptverstöße" angezeigt wird, klicken Sie zum Fortfahren auf Ja.

7. Klicken Sie auf Zertifikat installieren.

Hinweis: Wenn das Dialogfeld "Potenzielle Skriptverstöße" angezeigt wird, klicken Sie zum Fortfahren auf Ja.

8. Wenn die Installation erfolgreich war, wird die Meldung Certificate Installed (Zertifikat installiert) angezeigt.

Konfigurieren des ACS zur Verwendung eines Zertifikats aus dem Speicher

Führen Sie diese Schritte aus, um ACS für die Verwendung des Zertifikats im Speicher zu konfigurieren.

1. Öffnen Sie einen Webbrowser, und geben Sie http://ACS-ip-address:2002/ ein, um auf den ACS-Server zuzugreifen.

2. Klicken Sie auf Systemkonfiguration und dann auf ACS Certificate Setup.

3. Klicken Sie auf ACS-Zertifikat installieren.

4. Klicken Sie auf das Optionsfeld Zertifikat vom Speicher verwenden.

5. Geben Sie im Feld Certificate CN (CN-Zertifikat) den Namen des Zertifikats ein, das Sie in Schritt 5a des Abschnitts Obtain a Certificate From the ACS Server (Zertifikat vom ACS-Server beziehen) dieses Dokuments zugewiesen haben.

6. Klicken Sie auf Senden.

Nach Abschluss der Konfiguration wird eine Bestätigungsmeldung angezeigt, die anzeigt, dass die Konfiguration des ACS-Servers geändert wurde.

Hinweis: Sie müssen den ACS derzeit nicht neu starten.

Angeben zusätzlicher Zertifizierungsstellen, denen der ACS vertrauen sollte

Der ACS vertraut automatisch der Zertifizierungsstelle, die ein eigenes Zertifikat ausgestellt hat. Wenn die Client-Zertifikate von zusätzlichen Zertifizierungsstellen ausgestellt werden, müssen Sie die folgenden Schritte ausführen:

1. Klicken Sie auf Systemkonfiguration und dann auf ACS Certificate Setup.

2. Klicken Sie auf ACS Certificate Authority Setup, um der Liste der vertrauenswürdigen Zertifikate CAs hinzuzufügen.

3. Geben Sie im Feld für Zertifizierungsstellenzertifikatdatei den Speicherort des Zertifikats ein, und klicken Sie dann auf Senden.

4. Klicken Sie auf Liste der Zertifikatsvertrauenslisten bearbeiten.

5. Überprüfen Sie alle CAs, denen der ACS vertrauen soll, und deaktivieren Sie alle CAs, denen der ACS nicht vertrauen darf.

6. Klicken Sie auf Senden.

Starten Sie den Dienst neu, und konfigurieren Sie die EAP-TLS-Einstellungen auf dem ACS.

Gehen Sie wie folgt vor, um den Service neu zu starten und die EAP-TLS-Einstellungen zu konfigurieren:

1. Klicken Sie auf Systemkonfiguration und dann auf Dienststeuerung.

2. Klicken Sie auf Neu starten, um den Dienst neu zu starten.

3. Um EAP-TLS-Einstellungen zu konfigurieren, klicken Sie auf Systemkonfiguration und dann auf Globales Authentifizierungs-Setup.

4. Aktivieren Sie EAP-TLS zulassen, und überprüfen Sie dann einen oder mehrere Zertifikatvergleiche.

5. Klicken Sie auf Senden.

Angeben und Konfigurieren des Access Points als AAA-Client

Gehen Sie wie folgt vor, um den Access Point (AP) als AAA-Client zu konfigurieren:

1. Klicken Sie auf Netzwerkkonfiguration.

2. Klicken Sie unter AAA-Clients auf Eintrag hinzufügen.

3. Geben Sie den Hostnamen des Access Points im Feld "AAA Client Hostname" und die IP-Adresse im Feld "AAA Client IP Address" ein.

4. Geben Sie im Feld Schlüssel einen gemeinsamen geheimen Schlüssel für den ACS und den Access Point ein.

5. Wählen Sie RADIUS (Cisco Aironet) als Authentifizierungsmethode aus, und klicken Sie auf Senden.

Konfigurieren der externen Benutzerdatenbanken

Führen Sie diese Schritte aus, um die externen Benutzerdatenbanken zu konfigurieren.

1. Klicken Sie auf Externe Benutzerdatenbanken und dann auf Datenbankkonfiguration.

2. Klicken Sie auf Windows-Datenbank.

Hinweis: Wenn noch keine Windows-Datenbank definiert ist, klicken Sie auf Neue Konfiguration erstellen und klicken Sie anschließend auf Senden.

3. Klicken Sie auf Konfigurieren.

4. Verschieben Sie unter Configure Domain List (Domänenliste konfigurieren) die SEC-SYD-Domäne von Available Domains (Verfügbare Domänen) in Domain List (Domänenliste).

5. Klicken Sie im Bereich Windows EAP Settings (Windows-EAP-Einstellungen) auf das Kontrollkästchen EAP-TLS-Computerauthentifizierung zulassen, um die Computerauthentifizierung zu aktivieren.

Hinweis: Ändern Sie nicht den Namen der Computerauthentifizierung. Microsoft verwendet derzeit "/host" (den Standardwert), um zwischen Benutzer- und Computerauthentifizierung zu unterscheiden.

6. Optional können Sie das Kontrollkästchen EAP-TLS Strip Domain Name aktivieren, um das Entfernen von Domänen zu aktivieren.

7. Klicken Sie auf Senden.

8. Klicken Sie auf Externe Benutzerdatenbanken und dann auf Unbekannte Benutzerrichtlinie.

9. Klicken Sie auf das Optionsfeld Folgende externe Benutzerdatenbanken überprüfen.

10. Verschieben der Windows-Datenbank aus der Liste Externe Datenbanken in die Liste Ausgewählte Datenbanken.

11. Klicken Sie auf Senden.

Starten Sie den Dienst neu

Wenn Sie die Konfiguration des ACS abgeschlossen haben, führen Sie die folgenden Schritte aus, um den Service neu zu starten:

1. Klicken Sie auf Systemkonfiguration und dann auf Dienststeuerung.

2. Klicken Sie auf Neu starten.

Konfigurieren der automatischen Registrierung des MS-Zertifikats

Gehen Sie wie folgt vor, um die Domäne für die automatische Registrierung von Computerzertifikaten zu konfigurieren:

1. Gehen Sie zu Systemsteuerung > Verwaltung > Active Directory-Benutzer und -Computer öffnen.

2. Klicken Sie mit der rechten Maustaste auf Domäne sec-syd, und wählen Sie Eigenschaften aus.

3. Klicken Sie auf die Registerkarte Gruppenrichtlinie.

4. Klicken Sie auf Standard-Domänenrichtlinie und dann auf Bearbeiten.

5. Gehen Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien für öffentlichen Schlüssel > Einstellungen für automatische Zertifikatsanforderung.

6. Gehen Sie in der Menüleiste zu Aktion > Neu > Automatische Zertifikatsanforderung, und klicken Sie auf Weiter.

7. Wählen Sie Computer aus, und klicken Sie auf Weiter.

8. Überprüfen Sie die Zertifizierungsstelle "Unsere TAC-Zertifizierungsstelle" in diesem Beispiel.

9. Klicken Sie auf Weiter und dann auf Fertig stellen.

Konfigurieren des Cisco Access Points

Gehen Sie wie folgt vor, um den Access Point so zu konfigurieren, dass er den ACS als Authentifizierungsserver verwendet:

1. Öffnen Sie einen Webbrowser, und geben Sie http://AP-ip-address/certsrv ein, um auf den Access Point zuzugreifen.

2. Klicken Sie in der Symbolleiste auf Setup.

3. Klicken Sie unter Dienste auf Sicherheit und dann auf Authentifizierungsserver.

Hinweis: Wenn Sie Konten auf dem Access Point konfiguriert haben, müssen Sie sich anmelden.

4. Geben Sie die Konfigurationseinstellungen des Authentifizierers ein:

- Wählen Sie 802.1x-2001 für die 802.1x-Protokollversion (für EAP-Authentifizierung) aus.

- Geben Sie die IP-Adresse des ACS-Servers in das Feld Servername/IP ein.

- Wählen Sie RADIUS als Servertyp aus.

- Geben Sie 1645 oder 1812 in das Feld Port ein.

- Geben Sie den gemeinsamen geheimen Schlüssel ein, den Sie unter Angeben und Konfigurieren des Access Points als AAA-Client angegeben haben.

- Aktivieren Sie die Option für die EAP-Authentifizierung, um anzugeben, wie der Server verwendet werden soll.

5. Wenn Sie fertig sind, klicken Sie auf OK.

6. Klicken Sie auf Radio Data Encryption (WEP).

7. Geben Sie die internen Verschlüsselungseinstellungen ein.

- Wählen Sie Full Encryption aus der Dropdown-Liste Use of Data Encryption by Stations is (Datenverschlüsselung durch Stationen verwenden) aus, um die Stufe der Datenverschlüsselung festzulegen.

- Für Accept Authentication Type (Authentifizierungstyp akzeptieren) aktivieren Sie das Kontrollkästchen Open (Öffnen), um den Typ der akzeptierten Authentifizierung festzulegen, und aktivieren Sie Network-EAP, um LEAP zu aktivieren.

- Um EAP anzufordern, aktivieren Sie das Kontrollkästchen Offen, um EAP anzufordern.

- Geben Sie im Feld "Encription Key" einen Verschlüsselungsschlüssel ein, und wählen Sie in der Dropdown-Liste Key Size (Schlüsselgröße) die Option 128 Bit aus.

8. Wenn Sie fertig sind, klicken Sie auf OK.

9. Gehen Sie zu Netzwerk > Service Sets > Select the SSID Idx, um zu bestätigen, dass der richtige Service Set Identifier (SSID) verwendet wird.

10. Klicken Sie auf OK.

Konfigurieren des Wireless-Clients

Gehen Sie wie folgt vor, um ACS 3.2 zu konfigurieren:

1. Treten Sie der Domäne bei.

2. Erhalten Sie ein Zertifikat für den Benutzer.

3. Konfigurieren Sie das Wireless-Netzwerk.

Beitreten zur Domäne

Führen Sie diese Schritte aus, um den Wireless-Client der Domäne hinzuzufügen.

Hinweis: Um diese Schritte durchführen zu können, muss der Wireless-Client über eine kabelgebundene Verbindung oder eine Wireless-Verbindung mit deaktivierter 802.1x-Sicherheit mit der CA verbunden sein.

1. Melden Sie sich bei Windows XP als lokaler Administrator an.

2. Gehen Sie zu Systemsteuerung > Leistung und Wartung > System.

3. Klicken Sie auf die Registerkarte Computername und anschließend auf Ändern.

4. Geben Sie den Hostnamen im Feld Computername ein.

5. Wählen Sie Domain (Domäne) aus, und geben Sie dann den Namen der Domäne ein (in diesem Beispiel SEC-SYD).

6. Klicken Sie auf OK.

7. Wenn das Dialogfeld Anmelden angezeigt wird, melden Sie sich mit einem Konto an, das über die erforderliche Berechtigung verfügt, um der Domäne beizutreten.

8. Wenn der Computer der Domäne erfolgreich beigetreten ist, starten Sie den Computer neu.

Der Computer wird Mitglied der Domäne. Da die automatische Registrierung des Computers konfiguriert ist, verfügt der Computer über ein Zertifikat für die installierte Zertifizierungsstelle sowie ein Zertifikat für die maschinelle Authentifizierung.

Zertifikat für den Benutzer abrufen

Führen Sie diese Schritte aus, um ein Zertifikat für den Benutzer zu erhalten.

1. Melden Sie sich bei Windows XP und der Domäne (SEC-SYD) auf dem Wireless-Client (Laptop) als Konto an, das ein Zertifikat erfordert.

2. Öffnen Sie einen Webbrowser, und geben Sie http://CA-ip-address/certsrv ein, um auf den CA-Server zuzugreifen.

3. Melden Sie sich unter demselben Konto beim CA-Server an.

Hinweis: Das Zertifikat wird unter dem Profil des aktuellen Benutzers auf dem Wireless-Client gespeichert. Daher müssen Sie das gleiche Konto verwenden, um sich bei Windows und der CA anzumelden.

4. Klicken Sie auf das Optionsfeld Zertifikat anfordern und anschließend auf Weiter.

5. Klicken Sie auf das Optionsfeld Erweiterte Anforderung und anschließend auf Weiter.

6. Klicken Sie auf das Optionsfeld Zertifikatsanforderung an diese Zertifizierungsstelle mit einem Formular senden und klicken Sie dann auf Weiter.

7. Wählen Sie Benutzer aus der Zertifikatsvorlage aus, und geben Sie 1024 im Feld Schlüsselgröße ein.

8. Konfigurieren Sie nach Bedarf weitere Optionen, und klicken Sie auf Senden.

Hinweis: Wenn das Dialogfeld "Potenzielle Skriptverstöße" angezeigt wird, klicken Sie zum Fortfahren auf Ja.

9. Klicken Sie auf Zertifikat installieren.

Hinweis: Wenn das Dialogfeld "Potenzielle Skriptverstöße" angezeigt wird, klicken Sie zum Fortfahren auf Ja.

Hinweis: Der Root-Zertifikatsspeicher wird möglicherweise angezeigt, wenn das eigene Zertifikat der CA nicht bereits auf dem Wireless-Client gespeichert ist. Klicken Sie auf Ja, um das Zertifikat als lokalen Speicher zu speichern.

Wenn die Installation erfolgreich war, wird eine Bestätigungsmeldung angezeigt.

Konfigurieren der Wireless-Netzwerke

Gehen Sie wie folgt vor, um die Optionen für Wireless-Netzwerke festzulegen:

1. Melden Sie sich als Domänenbenutzer bei der Domäne an.

2. Gehen Sie zu Systemsteuerung > Netzwerk- und Internetverbindungen > Netzwerkverbindungen.

3. Klicken Sie mit der rechten Maustaste auf Drahtlose Verbindung, und wählen Sie Eigenschaften aus.

4. Klicken Sie auf die Registerkarte Drahtlose Netzwerke.

5. Wählen Sie das Wireless-Netzwerk aus der Liste der verfügbaren Netzwerke aus, und klicken Sie dann auf Konfigurieren.

6. Aktivieren Sie auf der Registerkarte Authentifizierung das Kontrollkästchen IEEE 802.1x-Authentifizierung für dieses Netzwerk aktivieren.

7. Wählen Sie Smartcard oder sonstiges Zertifikat aus der Dropdown-Liste EAP-Typ aus, und klicken Sie dann auf Eigenschaften.

Hinweis: Um die maschinelle Authentifizierung zu aktivieren, aktivieren Sie das Kontrollkästchen Authenticate as computer when computer information is available (Als Computer authentifizieren).

8. Klicken Sie auf das Optionsfeld Zertifikat auf diesem Computer verwenden, und aktivieren Sie das Kontrollkästchen Einfache Zertifikatauswahl verwenden.

9. Aktivieren Sie das Kontrollkästchen Serverzertifikate validieren, und klicken Sie auf OK.

Hinweis: Wenn der Client der Domäne beitritt, wird das Zertifikat der CA automatisch als vertrauenswürdige Zertifizierungsstelle für Root installiert. Der Client vertraut automatisch der Zertifizierungsstelle, die das Zertifikat des Clients signiert hat. Zusätzliche CAs können durch Überprüfung in der Liste der vertrauenswürdigen Stammzertifizierungsstellen als vertrauenswürdig eingestuft werden.

10. Aktivieren Sie auf der Registerkarte Zuordnung des Fensters für die Netzwerkeigenschaften die Kontrollkästchen Datenverschlüsselung (WEP aktiviert) und Der Schlüssel wird automatisch bereitgestellt.

11. Klicken Sie auf OK und dann erneut auf OK, um das Fenster Netzwerkkonfiguration zu schließen.

Überprüfen

Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.

- Gehen Sie wie folgt vor, um zu überprüfen, ob der Wireless-Client authentifiziert wurde:

1. Gehen Sie auf dem Wireless-Client zu Systemsteuerung > Netzwerk- und Internetverbindungen > Netzwerkverbindungen.

2. Gehen Sie in der Menüleiste zu Ansicht > Kacheln.

Die Wireless-Verbindung sollte die Meldung "Authentication Success" (Authentifizierung erfolgreich) anzeigen.

- Um zu überprüfen, ob Wireless-Clients authentifiziert wurden, gehen Sie auf der ACS-Webschnittstelle zu Reports and Activity > Passed Authentications > Passed Authentications active.csv.

Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.

- Überprüfen Sie, ob MS Certificate Services als Enterprise-Root-CA auf einem Windows 2000 Advanced-Server mit Service Pack 3 installiert wurde.

- Überprüfen Sie, ob Sie Cisco Secure ACS für Windows 3.2 mit Windows 2000 und Service Pack 3 verwenden.

- Wenn die maschinelle Authentifizierung auf dem Wireless-Client fehlschlägt, wird keine Netzwerkverbindung auf der Wireless-Verbindung hergestellt. Nur Konten, deren Profile auf dem Wireless-Client zwischengespeichert sind, können sich bei der Domäne anmelden. Der Computer muss an ein kabelgebundenes Netzwerk angeschlossen oder für eine Wireless-Verbindung ohne 802.1x-Sicherheit eingerichtet werden.

- Wenn die automatische Registrierung bei der CA beim Beitritt zur Domäne fehlschlägt, überprüfen Sie die Ereignisanzeige aus möglichen Gründen.

- Wenn das Benutzerprofil des Wireless-Clients über kein gültiges Zertifikat verfügt, können Sie sich dennoch bei dem Computer und der Domäne anmelden, wenn das Kennwort korrekt ist. Beachten Sie jedoch, dass die Wireless-Verbindung nicht über eine Verbindung verfügt.

- Wenn das ACS-Zertifikat auf dem Wireless-Client ungültig ist (was von den gültigen Daten des Zertifikats "ab" und "bis", den Datums- und Uhrzeiteinstellungen des Clients und der Vertrauenswürdigkeit der Zertifizierungsstelle abhängt), wird es vom Client abgelehnt, und die Authentifizierung schlägt fehl. Der ACS protokolliert die fehlgeschlagene Authentifizierung in der Webschnittstelle unter Berichte und Aktivität > Fehlgeschlagene Versuche > Fehlgeschlagene Versuche XXX.csv mit dem Authentifizierungsfehler-Code, ähnlich dem Beispiel "EAP-TLS oder PEAP-Authentifizierung ist während des SSL-Handshakes fehlgeschlagen". Die erwartete Fehlermeldung in der Datei CSAuth.log ähnelt der folgenden Meldung:

AUTH 06/04/2003 14:56:41 E 0345 1644 EAP: buildEAPRequestMsg:

other side probably didn't accept our certificate

- Wenn das Zertifikat des Clients auf dem ACS ungültig ist (was von den gültigen Daten des Zertifikats "ab" und "bis", den Datums- und Uhrzeiteinstellungen des Servers und der CA-Vertrauenswürdigkeit abhängt), wird es vom Server zurückgewiesen, und die Authentifizierung schlägt fehl. Der ACS protokolliert die fehlgeschlagene Authentifizierung in der Webschnittstelle unter Berichte und Aktivität > Fehlgeschlagene Versuche > Fehlgeschlagene Versuche XXX.csv mit dem Authentifizierungsfehler-Code, ähnlich dem Beispiel "EAP-TLS oder PEAP-Authentifizierung ist während des SSL-Handshakes fehlgeschlagen". Wenn der ACS das Zertifikat des Clients zurückweist, weil der ACS der CA nicht vertraut, ähnelt die erwartete Fehlermeldung in der Datei CSAuth.log der folgenden Meldung:

AUTH 06/04/2003 15:47:43 E 0345 1696 EAP: ProcessResponse:

SSL handshake failed, status = 3 (SSL alert fatal:unknown CA certificate)

Wenn der ACS das Zertifikat des Clients zurückweist, weil das Zertifikat abgelaufen ist, ähnelt die erwartete Fehlermeldung in der Datei CSAuth.log der folgenden Meldung:

AUTH 06/04/2005 15:02:08 E 0345 1692 EAP: ProcessResponse:

SSL handshake failed, status = 3 (SSL alert fatal:certificate expired)

- In den Protokollen auf der ACS-Webschnittstelle werden unter Reports und Activity > Passed Authentications > Passed Authentications XXX.csv und Reports and Activity > Failed Attempts > Failed Attempts XXX.csv, EAP-TLS-Authentifizierungen im Format <user-id>@<domain> angezeigt. PEAP-Authentifizierungen werden im Format <DOMAIN>\<user-id> angezeigt.

- Sie können das Zertifikat und die Vertrauenswürdigkeit des ACS-Servers überprüfen, indem Sie die folgenden Schritte ausführen.

1. Melden Sie sich bei Windows auf dem ACS-Server mit einem Konto mit Administratorrechten an.

2. Gehen Sie zu Start > Ausführen, geben Sie mmc ein, und klicken Sie auf OK, um die Microsoft Management Console zu öffnen.

3. Gehen Sie in der Menüleiste zu Konsole > Snap-In hinzufügen/entfernen, und klicken Sie auf Hinzufügen.

4. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

5. Wählen Sie Computerkonto aus, klicken Sie auf Weiter, und wählen Sie Lokaler Computer (der Computer, auf dem diese Konsole ausgeführt wird) aus.

6. Klicken Sie auf Fertig stellen, auf Schließen und dann auf OK.

7. Um zu überprüfen, ob der ACS-Server über ein gültiges serverseitiges Zertifikat verfügt, gehen Sie zu Console Root > Certificates (Local Computer) > Personal > Certificates, und überprüfen Sie, dass ein Zertifikat für den ACS-Server vorhanden ist (in diesem Beispiel unserACS genannt).

8. Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Punkte:

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- "Dieses Zertifikat soll - Sichert die Identität eines Remote-Computers."

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

- "Sie haben einen privaten Schlüssel, der diesem Zertifikat entspricht."

9. Überprüfen Sie auf der Registerkarte Details, ob das Feld Version den Wert V3 aufweist und das Feld Enhanced Key Usage (Erweiterte Schlüsselverwendung) über Serverauthentifizierung (1.3.6.1.5.5.7.3.1) verfügt.

10. Um zu überprüfen, ob der ACS-Server dem CA-Server vertraut, gehen Sie zu Console Root > Certificates (Local Computer) > Trusted Root Certification Authority > Certificates, und überprüfen Sie, ob ein Zertifikat für den CA-Server vorhanden ist (in diesem Beispiel Unsere TAC CA genannt).

11. Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Punkte:

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- Der Zweck des Zertifikats ist richtig.

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

Wenn der ACS und der Client nicht dieselbe Root-CA verwendet haben, dann überprüfen Sie, ob die gesamte Kette der CA-Server-Zertifikate installiert wurde. Gleiches gilt, wenn das Zertifikat von einer Behörde mit Unterzeugnis bezogen wurde.

- Sie können das Computerzertifikat und die Vertrauenswürdigkeit des Wireless-Clients überprüfen, indem Sie die folgenden Schritte ausführen.

1. Melden Sie sich bei Windows auf dem ACS-Server mit einem Konto mit Administratorrechten an. Öffnen Sie Microsoft Management Console, indem Sie Start > Ausführen wählen, mmc eingeben und auf OK klicken.

2. Gehen Sie in der Menüleiste zu Konsole > Snap-In hinzufügen/entfernen, und klicken Sie dann auf Hinzufügen.

3. Wählen Sie Zertifikate aus, und klicken Sie auf Hinzufügen.

4. Wählen Sie Computerkonto, klicken Sie auf Weiter, und wählen Sie Lokaler Computer (der Computer, auf dem diese Konsole ausgeführt wird) aus.

5. Klicken Sie auf Fertig stellen, auf Schließen und dann auf OK.

6. Überprüfen Sie, ob das System über ein gültiges clientseitiges Zertifikat verfügt. Wenn das Zertifikat ungültig ist, schlägt die maschinelle Authentifizierung fehl. Um das Zertifikat zu überprüfen, gehen Sie zu Console Root > Certificates (Local Computer) > Personal > Certificates (Konsolenstamm > Zertifikate (Lokaler Computer) > Personal > Certificates. Überprüfen Sie, ob ein Zertifikat für den Computer vorhanden ist. Der Name hat das Format <Hostname>.<Domäne>. Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Elemente.

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- "Dieses Zertifikat soll - Beweist Ihre Identität für einen Remote-Computer."

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

- "Sie haben einen privaten Schlüssel, der diesem Zertifikat entspricht."

- Überprüfen Sie auf der Registerkarte Details, ob das Feld Version den Wert V3 aufweist und das Feld Verwendung von Enhanced Key mindestens den Wert Client Authentication (1.3.6.1.5.5.7.3.2) enthält. können zusätzliche Zwecke aufgeführt werden. Stellen Sie sicher, dass das Betreff-Feld den Wert CN = <Hostname>.<domain> enthält. Es können zusätzliche Werte aufgeführt werden. Überprüfen Sie, ob der Hostname und die Domäne mit den im Zertifikat angegebenen übereinstimmen.

- Um zu überprüfen, ob das Profil des Clients dem CA-Server vertraut, gehen Sie zu Console Root > Certificates (Current User) > Trusted Root Certification Authorities > Certificates. Überprüfen Sie, ob ein Zertifikat für den CA-Server vorhanden ist (in diesem Beispiel Unsere TAC-Zertifizierungsstelle). Öffnen Sie das Zertifikat, und überprüfen Sie die folgenden Elemente.

- Es gibt keine Warnung, dass das Zertifikat nicht für alle seine vorgesehenen Zwecke verifiziert wird.

- Es gibt keine Warnung darüber, dass das Zertifikat nicht vertrauenswürdig ist.

- Der Zweck des Zertifikats ist richtig.

- Das Zertifikat ist noch nicht abgelaufen und gültig (prüfen Sie, ob das Datum "ab" und "bis" gültig ist).

Wenn der ACS und der Client nicht dieselbe Root-CA verwendet haben, dann überprüfen Sie, ob die gesamte Kette der CA-Server-Zertifikate installiert wurde. Gleiches gilt, wenn das Zertifikat von einer Behörde mit Unterzeugnis bezogen wurde.

- Überprüfen Sie die ACS-Einstellungen wie unter Konfigurieren von Cisco Secure ACS für Windows 3.2 beschrieben.

- Überprüfen Sie die CA-Einstellungen wie unter Konfigurieren der MS-Zertifikatsdienste beschrieben.

- Überprüfen Sie die AP-Einstellungen wie unter Konfigurieren des Cisco Access Points beschrieben.

- Überprüfen Sie die Einstellungen des Wireless-Clients wie unter Konfigurieren des Wireless-Clients beschrieben.

- Überprüfen Sie, ob das Benutzerkonto in der internen Datenbank des AAA-Servers oder in einer der konfigurierten externen Datenbanken vorhanden ist, und stellen Sie sicher, dass das Konto nicht deaktiviert wurde.

- Zertifikate der CA, die auf dem Secure Hash Algorithm 2 (SHA-2) basieren, sind nicht mit Cisco Secure ACS kompatibel, da sie mit Java entwickelt wurden, das SHA-2 ab jetzt nicht unterstützt. Um dieses Problem zu beheben, installieren Sie die CA neu und konfigurieren sie so, dass Zertifikate mit SHA-1 ausgegeben werden.

Zugehörige Informationen

- Support-Seite für Cisco Secure ACS für Windows

- EAP-TLS-Implementierungsleitfaden für Wireless LAN-Netzwerke

- Abrufen von Version- und AAA-Debuginformationen für Cisco Secure ACS für Windows

- Technischer Support - Cisco Systems