Cisco無線AP在復雜企業環境下配置指南

2020-04-18 12:49:31

字體：大中小

來源：轉載

供稿：網友

　　需求概述：
利用Cisco的AP，搭建一個企業無線局域網；用戶的筆記本不用加入AD域，即可登錄到無線網絡，登錄時使用域的用戶名和密碼；SSIDS隱藏，因此用戶無法自行選擇SSID，必須由管理員為其筆記本配置無線網絡；管理員將為不同的用戶選擇配置不同的SSID，讓其登錄進不同的VLAN，從而實現網絡權限的劃分。

　　配置需求：
　　VLAN：一臺AP多個VLAN，功能與交換機類似。

　　SSID隱藏：是
　　加密協議：WPA2
　　認證協議：801x下的PEAP
　　RADIUS服務器：Windows 2003所帶的Internet Authentication Service（IAS）

　　用戶目錄：與企業的Microsoft Active Directory目錄整合

　　環境搭建：
　　AP：Cisco AIR-AP1231G-A-K9，IOS版本：13（2）JA
　　認證服務器：Windows 2003 Enterprise Server with SP1，安裝了IAS服務。

　　客戶端：Windows XP with SP2，無線網卡為Intel PRO Wireless LAN 2100 3B Mini PCI Adapter.
　　無線AP的配置：
　　IP的配置：
　　找到IP：思科AP默認通過DHCP獲取IP，因此如果你的網絡中有DHCP服務器，請先查詢AP的MAC地址，再到你的DHCP服務器的已分發地址池找到AP已獲得的地址；如果你的網絡中沒有DHCP服務器，請通過Console連進AP.

　　配置IP：如果通過Console連進AP，請到interface BVI1下為AP配置IP.如果是通過網頁界面配置IP，請到Express SetUp中為AP配置IP.默認的用戶名和密碼都是Cisco，記住區分大小寫。
　　配置VLAN：
　　進入Service - VLAN，填入VLAN和VLAN名稱，點擊Apply新建VLAN.
　　重復上述動作，直到將多個VLAN全部建好。

　　確認與AP相連的交換機端口配置為Trunk Mode.
　　配置加密協議：

　　選擇要配置的VLAN.
　　進入Security - Encryption Manager，在Encryption Modes中，選擇Cipher - TKIP，其余默認。

　　配置認證服務器：
　　進入Security - Server Manager，在Corporate Servers中，選擇<NEW>，然后填入IAS服務器的IP地址或者FQDN，輸入Secret，然后端口號請選擇1645，完成后點擊Apply確認。

　　建好一個認證服務器后，還是在Security - Server Manager，在Default Server Priorities中，將我們剛剛建好的認證服務器設為默認的EAP Authentication server.

　　配置SSIDs：

　　進入Security - SSID Manager，在SSID Properties中，選擇New，然后輸入SSID的名稱，所屬的VLAN號，在無線端口前面打勾，確認使用的是該無線端口；Network ID可以不寫的。

　　在Client Authentication Settings中，選擇Open Authentication with EAP.

　　在Client Authentication Key Management中，選擇WPA的Mandatory.

　　在Multiple BSSID Beacon Settings中，確認“Set SSID as Guest Mode”沒有被勾選上。

　　檢查配置：

　　到Security中檢查無線配置，最后的配置圖應該類似于下圖：

認證服務器的配置：

　　為服務器安裝IAS服務。

　　將IAS服務器嵌入Active Directory中。只有做過這個配置，IAS才能到AD目錄中去驗證用戶的真偽。
　　在IAS的Action菜單中，選擇Register Server in Active Directory，即完成了注冊。

　　為IAS服務器配置證書（這一步非常關鍵）：
　　首先在AD域中配置證書服務器

　　然后為IAS服務器申請證書，證書類型為Computer或Server，不能是User或DC等。

　　證書申請完成后，將申請下來的證書導入IAS服務器，重啟一次。

　　新建RADIUS客戶端

　　在RADIUS Clients中，選擇新建客戶端。

　　為該客戶端起一個好記的名字，通常就是AP的Hostname.然后填入AP的IP地址或者FQDN.

　　Client-Vendor選擇Cisco，或者RADIUS Standard，都可以的。

　　填入Shared secret，必須和在AP中填入的一致。

點擊確定即可完成客戶端的新建。

　　新建策略

　　在Remote Access Policies中，選擇新建。

　　為策略起一個好記的名字，這里我們用Temp.

　　在Access Method中，選擇Wireless.

　　在用戶或組的選擇中，選擇用戶或組。

　　如果選擇用戶，那么請到AD的用戶管理中，為該用戶開通遠程撥入權限。

　　如果選擇組，那么請事先建好一個用戶組，將所有要使用無線登錄的用戶帳號加入該組。

　　推薦使用組模式。

　　Authentication Methods中，選擇PEAP，并點擊配置以檢查IAS服務器的證書是否安裝完成。如果沒有安裝證書，這里是無法配置的。

　　建完策略后，需對該策略進行進一步配置。進入該策略的屬性，選擇Edit Profile，在認證頁中，勾選上MS-CHAP v2，即可。

　　如果該策略只是對一個用戶開設，那么還可以添加上對用戶無線網卡的MAC地址的綁定。在策略條件中，加入一個形如“12356790AB”的Calling-Station-id即可。

　　完成配置

　　用戶端的配置：

　　在用戶無線網卡上，新建一個無線網絡。

　　輸入SSID名，網絡認證選擇WPA，數據加密選擇TKIP，密鑰為自動獲取。

　　認證頁中，勾選801x，選擇PEAP，并點擊其屬性。
　　在PEAP的屬性中，不勾選“驗證服務器證書”，認證方法選擇MS-CHAP v2，并點擊配置，將“自動使用Windows登錄名和密碼驗證前面的勾去掉”（重要）。
　　允許快速重連。

　　其他默認即可。

上一篇：無線WiMAX和Wi-Fi的常見知識誤區

下一篇：無線路由可以發送數據但接收不到的解決