ACS与windows域联动认证1.doc

CISCO ACS与AD结合的Radius的认证一、环境及需求：* Cisco Catalyst 3750-24TS交换机,Version 12.1(19)EA1d* 一台Windows 2003 Server SP1服务器做为AD Server* 一台Windows 2003 Server SP1服务器做为ACS Server* 一台Windows XP SP2工作站做为终端接入设备* Cisco Secure ACS for Windows version 4.0注:传统802.1x认证采用MD5-Challenge认证，用户在接入网络时需输入用户名和口令，安全性也相对薄弱。PEAP和EAP-TLS都是利用了TLS/SSL隧道，PEAP只使用了服务器端的认证，只是服务器端拥有证书并向用户提供证明，而EAP-TLS使用了双向认证，ACS服务器和客户端均拥有证书并进行相互间的身份证明。二、ACS的安装与配置.1. ACS的安装: A.先以AD Admin的身份登陆ADB.安装ACS,安装很简单,只要根据向导点击下一步即可.C.安装Java的插件.2 ACS的配置： A由于认证使用的是域用户认证，所以不用在ACS里面建立用户，首先配置交换机地址与认真所需的KEY，如图： 在network configuration 中添加AAA Clients ，配置其地址和KEY，注意将authenticate using改为radius(IETF)。B然后添加AAA Sservers 配置RADIUS地址和KEY（此KEY必须与配置交换机KEY一样）。C创建证书并导入ACS，system configuration ACS certificate setup generated self-signed certificate 证书格式为如下：密码随便写，注意勾选最下面的Install generated certificate。记得要在ACS certification authority setup 中导入证书。D重启ACS服务并进行PEAP设置:选择“System ConfigurationGlobal Authentication Setup”,勾选“Allow EAP-MSCHAPv2”及“Allow EAP-GTC”选项。 同时勾选“Allow MS-CHAP Version 1 Authentication”&“Allow MS-CHAP Version 2 Authentication”选项。E选择“External User Databases Unknown User Policy 将Check the following external user databases ,将“windows Databases”移动到右边的Selected Databases窗口中,完成后再重启服务。F配置External User Database database configuration windows Database Configure 保证ACS Server所在机器应已加入到域中，同时“Dialin Permission”中的默认勾选项应去掉，如不去掉的话，域管理用户和终端用户均需设置Dial-in访问权限。点击database configuration 进入下图。点击windows Database，进入下图。点击Configure，进入下图。将Dialin Permission”中的默认勾选项应去掉。由于使用Windows Active directory的用户名作为认证，因此配置此用户的授权由ACS的组完成，然后将此group与Windows Active directory的组映射。因此将configure domain list中左边的域名移到右面的domain list中，然后点击Submit 。同时“Windows EAP Settings”的“Machine Authentication”下勾选“Enable PEAP machine authentication”和“Enable EAP-TLS machine authentication.EAP-TLS and PEAP machine anthentication name prefix.” 选项,其中默认的“host/”不用改动。G配置ACS Group Mapping:由于使用AD的用户名作为认证,用ACS作为用户访问的授权,因此须将此ACS 中的Group与AD的Group映射。配置External User Database Database Group Mappings windows database New Configure ,新建一个域名组，其中选择填入域名，在此以VRV为例。 在domain中添加VRV再Submit,确定后出现另一画面：点击windows database后，进入下图。点击submit 点击submit后，新建好的DOMAIN选择domain_name（VRV） Add Mapping,把Define NT Groups set中domain users、users、WINS users的Group添加到Selected中，如图：在ACS group中选择ACS的GROUP(ACS中的GROUP默认名称是Group 1,这个名称可以更改),再Submit即可。H通过ACS的Group来配置用户访问的权限,比如访问网络中哪一个VLAN及什么时间可以访问网络等.现以不同的用户访问不同的VLAN为例.首先要在Interface Configuration RADIUS (IETF)下勾选Tunnel-Type; Tunnel-Medium-Type; Tunnel-Private-Group-ID。再选择Group Setup Group1(因为以上配置的为Group1) Edit Settings,勾选Tunnel-Type; Tunnel-Medium-Type; Tunnel-Private-Group-ID。其中Tunnel-Type设为VLAN; Tunnel-Medium-Type设为802; Tunnel-Private-Group-ID设此Group用户所要访问的VLAN号,现以VLAN 123为例。点Submit+Restart即可三、配置域用户和用户属性，将用户属性