ben2506
Jun 07, 2018, updated at Jun 08, 2018 (UTC)
view5265
view13
0
Goto Top

EAP-TLS Auth mit 2012R2 NPS

GermanQuestionTrashcanOff Topic
Hallo Zusammen

Vielleicht kann mir jemand helfen. Ich habe Probleme mit der Authentifizierung von non-domain joined devices in einem Corporate WLAN.

Ich habe folgende Umgebung:

- Cisco AP's und Cisco WLC
- NPS auf W2012R Server
- AD und CA vorhanden

Was möchte ich?

- WLAN für BYOD Geräte (Vornehmlich Apple iPhones, iPads, etc) mit 802.1x
- Authentifizierung der Geräte über Zertifikate, damit ich kontrollieren kann, welches Gerät sich mit dem Netzwerk verbindet. Verwendung von AD Credentials ist deshalb nicht gewünscht.

Was habe ich eingerichtet?

- WLAN ist eingerichtet und funktioniert.
- NAP ist folgendermassen konfiguriert:

Verbindungsanforderungsrichtlinie:

3

Netzwerkrichtlinie:

1
2


Die Zertifikate für die Mobilgeräte erzeuge ich auf Basis einer duplizierten Computer Zertifikatvorlage und habe sie wie folgt angepasst:

6
5
4

Anschliessend habe ich für das Mobilgerät im AD einen Benutzer angelegt.
Daraufhin habe ich ein Zertifikat auf Basis des obigen Templates angefordert, in welchem der CN dem Benutzernamen des vorher erstellten Users entspricht.
Dann habe ich das Zertifikat 1x mit privatem Schlüssel und einmal ohne exportiert. Die Version mit privatem Schlüssel wurde auf dem Mobilgerät installiert. Die ohne wurde im AD auf den Benutzer gemappt. Auf dem Mobilgerät wurde zusätzlich noch das Zertifizierungsstellenzertifikat installiert und als Trusted markiert.

Aktuell ist es nun so, dass Domänencomputer sich anstandslos mit dem WLAN Verbinden können.
Versuche ich jedoch ein iPhone zu verbinden, schlägt dies Fehl und im Event Log wird folgende Meldung geloggt:

7

Ich bin bei der Einrichtung folgender Anleitung gefolgt:

https://adminadventure.wordpress.com/2015/09/29/wpa2-enterprise-eap-tls- ...

Hat hier jemand so ein ähnliches Setup am laufen und kann dazu etwas sagen?

Vielen Dank im Voraus!
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 376296

Url: https://administrator.de/contentid/376296

Printed on: April 25, 2024 at 00:04 o'clock

13 Comments
Latest comment
Goto Top
Mitglied: 136166
136166 Jun 07, 2018 updated at 13:09:44 (UTC)
Goto Top
Wundert mich nicht wirklich wenn du im EAP im NAP nur MSCHAP als Authentifizierungsmethode angibst und keine Zertifikats-Auth... Wie soll sich der Client dann mit Zertifikaten authentifizieren wenn der Server mit MSCHAP nur Benutzername und Kennwort erwartet?!
Member: wiesi200
wiesi200 Jun 07, 2018 at 13:04:39 (UTC)
Goto Top
Hallo,

also grundlegend würd ich mal sagen private Geräte haben im Firmennetz nicht zu suchen.

Persönlich habe ich hierfür ein seperate W-Lan für die Mitarbeiter in einem seperaten V-Lan.
Und diese Melden sich über Freeradius mit eine SQL Datenbank als Backend an mit selbst geschriebenen Frontend.
Mitglied: 136166
136166 Jun 07, 2018 updated at 13:07:49 (UTC)
Goto Top
also grundlegend würd ich mal sagen private Geräte haben im Firmennetz nicht zu suchen.
Jepp, die Zuordnung zum entsprechenden VLAN ginge aber auch direkt über den NPS so dass man hier nicht zwingend zwei SSIDs braucht.
Member: ben2506
ben2506 Jun 07, 2018 updated at 13:18:14 (UTC)
Goto Top
Hallo

Danke für den Hinweis, das ist aber bereits so umgesetzt.
Natürlich handelt es sich bei dem Netzwerk um ein gesondertes VLAN ohne Zugriff auf das produktive Firmen Netzwerk.

Ich möchte ungern weitere Maschinen aufsetzen, wenn das mit vorhandenen Mitteln auch funktionieren sollte.

@136166

Ich habe es jetzt mal auf "Smartcard- oder andere Zertifikat" abgeändert.
Leider funktioniert es auch damit nicht, die Fehlermeldung ist die selbe. Die bescheidenen Log Einträge machen es leider nicht einfacher.
Mitglied: 136166
136166 Jun 07, 2018 updated at 13:49:48 (UTC)
Goto Top
Einen SPN für den SAN im Cert hast du am NPS angelegt? Ohne das lüppt das nicht.
Member: ben2506
ben2506 Jun 07, 2018 updated at 14:37:00 (UTC)
Goto Top
Nein!
Meine Zertifikate haben momentan nur den Benutzeranmeldenamen im CN.
Wenn ich im Zertifikat den SAN Eintrag setze, kann ich dann im AD auch mit Computer anstatt Benutzeraccounts arbeiten?

EDIT:

Also:

Ich habe einen Computeraccount mit dem Namen mobdev01 angelegt.
Bei dem Zertifikat: CN=mobdev01
SAN:UPN=mobdev01$@contoso.local
Anschliessen ein setspn -r mobdev01$

Korrekt, oder habe ich etwas übersehen?
Danke für die Unterstützung.
Mitglied: 136166
136166 Jun 07, 2018 updated at 14:47:00 (UTC)
Goto Top
Korrekt, oder habe ich etwas übersehen?
Nöp ...
Lese
https://social.technet.microsoft.com/Forums/windowsserver/en-US/d51b56b1 ...
-    Create an account in AD.
 -   Issue a certificate from a template that allows the private key to be exported.
 -   Using name mappings attach the certificate to the account.
 -   Create an SPN that matches the SAN on the certificate..i.e. if the SAN is computer.domain.com, you need to create a SPN on the account host/computer.domain.com.
  -  Install certificate on target workstation.
Member: ben2506
ben2506 Jun 07, 2018 at 15:14:54 (UTC)
Goto Top
Danke...
Ich glaube ich komme näher, Die Fehlermeldung ist jetzt "Das angegebene Benutzerkonto ist nicht vorhanden"

Es ist immer noch nicht so ganz klar, von welchem Konto die Rede ist. Einem Benutzerkonto oder einem Computerkonto.
Mitglied: 136166
136166 Jun 07, 2018 updated at 15:35:44 (UTC)
Goto Top
Einem Benutzerkonto oder einem Computerkonto.
Nun wozu hast du dein Testsystem wenn du es nicht zum testen nutzt face-smile.

Einfach nur mal lesen:
Devices such as iPads behave differently, where they treat all certificates installed as a user certificate, hence when passing the subject name to the NPS server, NPS will look for a user object in AD DS rather than a computer object, causing the authentication request to fail. When this occurs, you will see logs in the NPS server security event log. Keep in mind that devices from different vendors may behave differently, so watch out for this issue
Member: ben2506
ben2506 Jun 07, 2018 at 16:39:10 (UTC)
Goto Top
Ich Teste durchaus face-smile
Der NPS loggt nun immer Fehler Code 1 "Ein interner Fehler ist aufgetreten. Weitere Informationen finden Sie..."

Grüsse
Mitglied: 136166
136166 Jun 07, 2018 updated at 16:44:32 (UTC)
Goto Top
Aktiviere das erweiterte Logging im NPS und ackere dich durch die Logs.
https://social.technet.microsoft.com/Forums/windows/en-US/45aa3000-c32b- ...
Member: flugfaust
flugfaust Jul 08, 2020 at 07:48:41 (UTC)
Goto Top
Ich weiß, dieser Beitrag ist schon etwas älter. Aber ich stehe vor dem selben Problem.
Gab es dafür eine Lösung?
Member: flugfaust
flugfaust Jul 08, 2020 at 08:39:23 (UTC)
Goto Top
Ich habe mal das NPS Log mit angefügt. Der Computer names "ERFOLGREICHER-PC" wird über seinen Hostnamen am WLAN erfolgreich authentifiziert.
Das manuell angelegt Computerkonto "MANUELLES-COMPUTERKONTO" kann sich nicht authentifizieren.
Im Log sieht aber alles identisch aus
<Event><Timestamp data_type="4">07/08/2020 10:16:15.673</Timestamp><Computer-Name data_type="1">VM-SRV01</Computer-Name><Event-Source data_type="1">IAS</Event-Source><User-Name data_type="1">host/ERFOLGREICHER-PC.MEINE-DOMAIN.LOCAL</User-Name><NAS-IP-Address data_type="3">192.168.0.119</NAS-IP-Address><NAS-Port data_type="0">0</NAS-Port><NAS-Identifier data_type="1">192.168.0.119</NAS-Identifier><NAS-Port-Type data_type="0">19</NAS-Port-Type><Calling-Station-Id data_type="1">00e04c125b32</Calling-Station-Id><Called-Station-Id data_type="1">f05c19c06bd6</Called-Station-Id><Service-Type data_type="0">1</Service-Type><Framed-MTU data_type="0">1100</Framed-MTU><Vendor-Specific data_type="2">000039E705114D42574C414E2D436F6D7075746572</Vendor-Specific><Vendor-Specific data_type="2">000039E7061366303A35633A31393A63303A36623A6436</Vendor-Specific><Vendor-Specific data_type="2">000039E70A084941502D3031</Vendor-Specific><Client-IP-Address data_type="3">192.168.0.119</Client-IP-Address><Client-Vendor data_type="0">0</Client-Vendor><Client-Friendly-Name data_type="1">IAP-01</Client-Friendly-Name><Proxy-Policy-Name data_type="1">WLAN</Proxy-Policy-Name><Provider-Type data_type="0">1</Provider-Type><SAM-Account-Name data_type="1">MEINE-DOMAIN\ERFOLGREICHER-PC$</SAM-Account-Name><Fully-Qualifed-User-Name data_type="1">MEINE-DOMAIN\ERFOLGREICHER-PC$</Fully-Qualifed-User-Name><Class data_type="1">311 1 192.168.0.21 07/05/2020 19:10:35 1886</Class><Authentication-Type data_type="0">5</Authentication-Type><NP-Policy-Name data_type="1">WLAN Computer Auth EAP-TLS</NP-Policy-Name><Quarantine-Update-Non-Compliant data_type="0">1</Quarantine-Update-Non-Compliant><Packet-Type data_type="0">1</Packet-Type><Reason-Code data_type="0">0</Reason-Code></Event>  
<Event><Timestamp data_type="4">07/08/2020 10:16:15.673</Timestamp><Computer-Name data_type="1">VM-SRV01</Computer-Name><Event-Source data_type="1">IAS</Event-Source><Class data_type="1">311 1 192.168.0.21 07/05/2020 19:10:35 1886</Class><Session-Timeout data_type="0">30</Session-Timeout><Quarantine-Update-Non-Compliant data_type="0">1</Quarantine-Update-Non-Compliant><Client-IP-Address data_type="3">192.168.0.119</Client-IP-Address><Client-Vendor data_type="0">0</Client-Vendor><Client-Friendly-Name data_type="1">IAP-01</Client-Friendly-Name><Proxy-Policy-Name data_type="1">WLAN</Proxy-Policy-Name><Provider-Type data_type="0">1</Provider-Type><SAM-Account-Name data_type="1">MEINE-DOMAIN\ERFOLGREICHER-PC$</SAM-Account-Name><Fully-Qualifed-User-Name data_type="1">MEINE-DOMAIN\ERFOLGREICHER-PC$</Fully-Qualifed-User-Name><Authentication-Type data_type="0">5</Authentication-Type><NP-Policy-Name data_type="1">WLAN Computer Auth EAP-TLS</NP-Policy-Name><Packet-Type data_type="0">11</Packet-Type><Reason-Code data_type="0">0</Reason-Code></Event>  
<Event><Timestamp data_type="4">07/08/2020 10:31:15.263</Timestamp><Computer-Name data_type="1">VM-SRV01</Computer-Name><Event-Source data_type="1">IAS</Event-Source><User-Name data_type="1">host/MANUELLES-COMPUTERKONTO.MEINE-DOMAIN.LOCAL</User-Name><NAS-IP-Address data_type="3">192.168.0.119</NAS-IP-Address><NAS-Port data_type="0">0</NAS-Port><NAS-Identifier data_type="1">192.168.0.119</NAS-Identifier><NAS-Port-Type data_type="0">19</NAS-Port-Type><Calling-Station-Id data_type="1">d0c63770de06</Calling-Station-Id><Called-Station-Id data_type="1">f05c19c06bd6</Called-Station-Id><Service-Type data_type="0">1</Service-Type><Framed-MTU data_type="0">1100</Framed-MTU><Vendor-Specific data_type="2">000039E705114D42574C414E2D436F6D7075746572</Vendor-Specific><Vendor-Specific data_type="2">000039E7061366303A35633A31393A63303A36623A6436</Vendor-Specific><Vendor-Specific data_type="2">000039E70A084941502D3031</Vendor-Specific><Client-IP-Address data_type="3">192.168.0.119</Client-IP-Address><Client-Vendor data_type="0">0</Client-Vendor><Client-Friendly-Name data_type="1">IAP-01</Client-Friendly-Name><Proxy-Policy-Name data_type="1">WLAN</Proxy-Policy-Name><Provider-Type data_type="0">1</Provider-Type><SAM-Account-Name data_type="1">MEINE-DOMAIN\MANUELLES-COMPUTERKONTO$</SAM-Account-Name><Fully-Qualifed-User-Name data_type="1">MEINE-DOMAIN\MANUELLES-COMPUTERKONTO$</Fully-Qualifed-User-Name><Class data_type="1">311 1 192.168.0.21 07/05/2020 19:10:35 1916</Class><Authentication-Type data_type="0">5</Authentication-Type><NP-Policy-Name data_type="1">WLAN Computer Auth EAP-TLS</NP-Policy-Name><Quarantine-Update-Non-Compliant data_type="0">1</Quarantine-Update-Non-Compliant><Packet-Type data_type="0">1</Packet-Type><Reason-Code data_type="0">0</Reason-Code></Event>  
<Event><Timestamp data_type="4">07/08/2020 10:31:15.263</Timestamp><Computer-Name data_type="1">VM-SRV01</Computer-Name><Event-Source data_type="1">IAS</Event-Source><Class data_type="1">311 1 192.168.0.21 07/05/2020 19:10:35 1916</Class><Session-Timeout data_type="0">30</Session-Timeout><Quarantine-Update-Non-Compliant data_type="0">1</Quarantine-Update-Non-Compliant><Client-IP-Address data_type="3">192.168.0.119</Client-IP-Address><Client-Vendor data_type="0">0</Client-Vendor><Client-Friendly-Name data_type="1">IAP-01</Client-Friendly-Name><Proxy-Policy-Name data_type="1">WLAN</Proxy-Policy-Name><Provider-Type data_type="0">1</Provider-Type><SAM-Account-Name data_type="1">MEINE-DOMAIN\MANUELLES-COMPUTERKONTO$</SAM-Account-Name><Fully-Qualifed-User-Name data_type="1">MEINE-DOMAIN\MANUELLES-COMPUTERKONTO$</Fully-Qualifed-User-Name><Authentication-Type data_type="0">5</Authentication-Type><NP-Policy-Name data_type="1">WLAN Computer Auth EAP-TLS</NP-Policy-Name><Packet-Type data_type="0">11</Packet-Type><Reason-Code data_type="0">0</Reason-Code></Event>
GermanQuestionTrashcanOff Topic
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments