2
Implementierung von 802.1x. Probleme mit Zertifikaten
Hallo Foren-Gemeinde,
bin noch noch in der Ausbildung und hab mich in folgendes Projekt verbissen:
Eine WLan-Bridge soll über 802.1x Portautorisierung gesichert werden. Die Bridge besteht aus zwei Lancom L54g Geräten.
Hab eine gemischte Windows-Umgebung vorliegen, Nur eine Domäne keine Subdomains
folgende Schritte hatte ich bis jetzt durchgeführt:
- Wlan Bridge konfiguriert (funktioniert solange ich WPA ohne 802.1x verwende)
Als EAP Typ möchte ich EAP - TLS verwenden
Der Radius Server ist den Access Points bekannt
- Untergeordnete Zertifizierungsstelle auf Windows 2003 Enterprise Server installiert (plus IIS 6)
Stammzertifizierungsstelle ist bereits auf einem Windows 2000 Server aktiv
- IAS - Dienst installiert (im Active Directory registriert)
Radius Clients wurden definiert (die beiden Lancoms) und das Shared Secret eingestellt
RAS Richtline für eine Test-Domänen Gruppe wurde definiert (bis auf die EAP-Methode, da kein Zertifikat)
Nun meine Fragen:
Wie fordere ich ein Zertifikat genau für diesen Zweck an? Bzw. wie erstelle ich eine geeignet Zertifikatsvorlage? Muss ich bei der Untergeordneten Zertifizierungsstelle etwas beachten?
Muss das Zertifikat dann exportiert werden und in die AP´s eingespielt werden, oder genügt es wenn es über die RAS-Richtlinie dem Radius bekannt ist?
Sorry für diese Anfänger-Fragen, aber um so mehr Whitepapers ich durchforste umso verwirrter erscheint mir das ganze...
Könnt ihr mir weiterhelfen?
bin noch noch in der Ausbildung und hab mich in folgendes Projekt verbissen:
Eine WLan-Bridge soll über 802.1x Portautorisierung gesichert werden. Die Bridge besteht aus zwei Lancom L54g Geräten.
Hab eine gemischte Windows-Umgebung vorliegen, Nur eine Domäne keine Subdomains
folgende Schritte hatte ich bis jetzt durchgeführt:
- Wlan Bridge konfiguriert (funktioniert solange ich WPA ohne 802.1x verwende)
Als EAP Typ möchte ich EAP - TLS verwenden
Der Radius Server ist den Access Points bekannt
- Untergeordnete Zertifizierungsstelle auf Windows 2003 Enterprise Server installiert (plus IIS 6)
Stammzertifizierungsstelle ist bereits auf einem Windows 2000 Server aktiv
- IAS - Dienst installiert (im Active Directory registriert)
Radius Clients wurden definiert (die beiden Lancoms) und das Shared Secret eingestellt
RAS Richtline für eine Test-Domänen Gruppe wurde definiert (bis auf die EAP-Methode, da kein Zertifikat)
Nun meine Fragen:
Wie fordere ich ein Zertifikat genau für diesen Zweck an? Bzw. wie erstelle ich eine geeignet Zertifikatsvorlage? Muss ich bei der Untergeordneten Zertifizierungsstelle etwas beachten?
Muss das Zertifikat dann exportiert werden und in die AP´s eingespielt werden, oder genügt es wenn es über die RAS-Richtlinie dem Radius bekannt ist?
Sorry für diese Anfänger-Fragen, aber um so mehr Whitepapers ich durchforste umso verwirrter erscheint mir das ganze...
Könnt ihr mir weiterhelfen?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 88346
Url: https://administrator.de/contentid/88346
Printed on: April 24, 2024 at 08:04 o'clock
2 Comments
Latest comment
Bei EAP-TLS braucht der Radius.-Sever ein Serverzertifikat und der client-PC braucht ein Certifikat.
Das Zertifikat wird niemals auf den AP aufgespielt.Der AP spielt nur "EAP-Relay" und leitet einfliegende EAP-Päckchen an den Radius-Server weiter. Dem AP ist wurst was für ein EAP einesetzt wird - nur der RAdiusserver und der Endpunkt (client) müssen die EAP-Variante unterstützten damit sie miteinander können.
EAP ist nur eine Art "Container" der beliebige Authentisierungsmethoden "transportieren" kann.
Beim Zertifikatsrequest muss man den Zweck angeben (Server? User? usw). Beim "Common Name" glaub ich muss dann der Server-DNS name eingegeben werden.
Es gibt ne detailierte Anleitung von Mikrosaft welche Attribute das Certifikat für nen IAS konkret haben muss. Wichtig ist dass es auch im "richtigen" Certstore auf dem IAS liegt damit der IAS es auch findet wo er es erwartet.
Obs geklappt hat merkst du daran wenn du in den IAS RAS Richtlinien das EAP Cert aufrufen kannnst (Richtlinie...Profile...Authentifikation...EAP usw ... so in etwa..).
Ausserdem gibts noch debug modus wo du dann genau sehen kannst wie der IAS RAdius die Anfragen verarbeitet wenn es zu fehlern kommmt.
Das Zertifikat wird niemals auf den AP aufgespielt.Der AP spielt nur "EAP-Relay" und leitet einfliegende EAP-Päckchen an den Radius-Server weiter. Dem AP ist wurst was für ein EAP einesetzt wird - nur der RAdiusserver und der Endpunkt (client) müssen die EAP-Variante unterstützten damit sie miteinander können.
EAP ist nur eine Art "Container" der beliebige Authentisierungsmethoden "transportieren" kann.
Beim Zertifikatsrequest muss man den Zweck angeben (Server? User? usw). Beim "Common Name" glaub ich muss dann der Server-DNS name eingegeben werden.
Es gibt ne detailierte Anleitung von Mikrosaft welche Attribute das Certifikat für nen IAS konkret haben muss. Wichtig ist dass es auch im "richtigen" Certstore auf dem IAS liegt damit der IAS es auch findet wo er es erwartet.
Obs geklappt hat merkst du daran wenn du in den IAS RAS Richtlinien das EAP Cert aufrufen kannnst (Richtlinie...Profile...Authentifikation...EAP usw ... so in etwa..).
Ausserdem gibts noch debug modus wo du dann genau sehen kannst wie der IAS RAdius die Anfragen verarbeitet wenn es zu fehlern kommmt.
Vielen Danker erstmal für die Hilfe,
irgendwie klappt das mit den Zertifikat anfordern nicht so ganz. geh ich schon richtig davon aus das ich das über //localhost/certsrv machen muss?
Finde in dieser Auswahl nur Webserver Zertifikate usw.
irgendwie klappt das mit den Zertifikat anfordern nicht so ganz. geh ich schon richtig davon aus das ich das über //localhost/certsrv machen muss?
Finde in dieser Auswahl nur Webserver Zertifikate usw.
