Compreenda e configurar o EAP-TLS com amobilidade expressa e o ISE ndice

IntroduoPr-requisitosRequisitosComponentes UtilizadosInformaes de ApoioFluxo do EAP-TLSEtapas no fluxo do EAP-TLSConfigurarMobilidade de Cisco expressaISE com a mobilidade de Cisco expressaAjustes do EAP-TLSAjustes expressos da mobilidade no ISECertificado de confiana no ISECliente para o EAP-TLSCertificado de usurio da transferncia na mquina cliente (rea de trabalho do Windows)Perfil wireless para o EAP-TLSVerificarTroubleshooting

Introduo

Isto documenta descreve como estabelecer um Wireless Local Area Network (WLAN) comSegurana do 802.1x em um controlador expresso da mobilidade. Este original igualmente explicao uso do Extensible Authentication Protocol (EAP) - o Transport Layer Security (TLS)especificamente.

Pr-requisitos

Requisitos

A Cisco recomenda que voc tenha conhecimento destes tpicos:

Instalao inicial expressa da mobilidadeprocesso de autenticao do 802.1xCertificados

Componentes Utilizados

As informaes neste documento so baseadas nestas verses de software e hardware:

Verso 8.5 WLC 5508Verso 2.1 do Identity Services Engine (ISE)

As informaes neste documento foram criadas a partir de dispositivos em um ambiente delaboratrio especfico. Todos os dispositivos utilizados neste documento foram iniciados com umaconfigurao (padro) inicial. Se sua rede est viva, assegure-se de que voc compreenda oimpacto potencial do comando any.

Informaes de Apoio

Fluxo do EAP-TLS

Etapas no fluxo do EAP-TLS

O cliente Wireless obtm associado com o Access Point (AP).1.

O AP no permite o cliente enviar neste momento nenhuns dados e envia um pedido deautenticao.

2.

O suplicante responde ento com uma identidade da EAP-resposta. O WLC comunica entoa informao USER-identificao ao Authentication Server.

3.

O servidor Radius responde de volta ao cliente com um pacote do comeo do EAP-TLS. Oscomeos da conversao do EAP-TLS neste momento.

4.

O par envia uma EAP-resposta de volta ao Authentication Server que contm umamensagem do aperto de mo do client_hello, uma cifra que seja ajustada para o ZERO.

5.

O Authentication Server responde com um pacote do Acesso-desafio que contenha:6.

TLS server_hello

handshake message

certificate

server_key_exchange

certificate request

server_hello_done.

O cliente responde com uma mensagem da EAP-resposta que contenha:7.

Certificate Server can validate to verify that it is trusted.

client_key_exchange

certificate_verify Verifies the server is trusted

change_cipher_spec

TLS finished

Depois que o cliente autentica com sucesso, o servidor Radius responde com um Acesso-desafio, que contenha o change_cipher_spec e a mensagem terminada aperto de mo. Emcima de receber isto, o cliente verifica a mistura a fim autenticaro servidor Radius. Umachave de criptografia nova derivada dinamicamente do segredo mestre durante ohandshake de TLS.

8.

Neste momento, o cliente Wireless permitido EAP-TLS pode alcanar a rede Wireless.9.

Configurar

Mobilidade de Cisco expressa

Etapa 1. A primeira etapa criar um WLAN na mobilidade expressa. A fim criar um WLAN,navegue ao > Add WLAN novo WLAN segundo as indicaes da imagem.

Etapa 2. Uma janela pop-up nova aparecer uma vez que voc clique adiciona o WLAN novo. Afim criar um nome de perfil, navegue para adicionar novo WLAN > general segundo as indicaesda imagem.

Etapa 3. Configurar o tipo do autenticao como a empresa WPA para o 802.1x e configurar oservidor Radius adicionam abaixo novo WLAN > Segurana de WLAN segundo as indicaes daimagem.

Etapa 4. Clique adicionam o servidor de autenticao RADIUS e fornecem o endereo IP de Umou Mais Servidores Cisco ICM NT do servidor Radius e o segredo compartilhado que devecombinar exatamente o que foi configurado no ISE e para clicar ento aplica-sesegundo asindicaes da imagem.

ISE com a mobilidade de Cisco expressa

Ajustes do EAP-TLS

A fim construir a poltica, voc precisa de criar a lista permitida do protocolo para usar-se em suapoltica. Desde que uma poltica do dot1x escrita, especifique o tipo permitido EAP baseado emcomo a poltica configurada.

Se voc usa o padro, voc permite a maioria de tipos EAP para a autenticao que no pde serpreferida se voc precisa de travar abaixo do acesso a um tipo especfico EAP.

Etapa 1. Navegue poltica > aos elementos > aos resultados > autenticao da poltica >protocolos permitidos e o clique adiciona segundo as indicaes da imagem.

Etapa 2. Nesta lista permitida do protocolo, voc pode dar entrada com o nome para a lista. Nestecaso,permita a caixa do EAP-TLS verificado e outras caixas so desmarcadas segundo asindicaes da imagem.

Ajustes expressos da mobilidade no ISE

Etapa 1. Abra o console ISE e navegue ao > Add da administrao > dos recursos de rede > dosdispositivos de rede segundo as indicaes da imagem.

Etapa 2. Incorpore a informao segundo as indicaes da imagem.

Certificado de confiana no ISE

Etapa 1. Navegue administrao > ao sistema > ao > gerenciamento de certificado > aoscertificados confiveis dos Certificados.

Clique a importao a fim importar um certificado ao ISE. Uma vez que voc adiciona um WLC ecria um usurio no ISE, voc precisa de fazer a maioria de parte importante de EAP-TLS que confiar o certificado no ISE. Para o esse, voc precisa de gerar o CSR.

Etapa 2. Navegue a Administrauon > a Certificados > a solicitaes de assinatura de certificado >gerenciem as solicitaes de assinatura de certificado (CSR) segundo as indicaes da imagem.

Etapa 3. A fim gerar o CSR, navegue ao uso e dos certificados ser usado para deixam cair parabaixo a autenticao de EAP seleta das opes segundo as indicaes da imagem.

Etapa 4. O CSR gerado no ISE pode ser visto. Opinio do clique segundo as indicaes daimagem.

Etapa 5. Uma vez que o CSR gerado, consulte para o server de CA e clique o pedido umcertificado segundo as indicaes da imagem:

Etapa 6. Uma vez que voc pede um certificado, voc obtm opes para o certificado de usurioe o pedido do certificado avanado, clica pedido do certificado avanadosegundo as indicaesda imagem.

Etapa 7. Cole o CSR gerado no pedido do certificado codificado Base-64. Do molde decertificado:deixe cair para baixo a opo, escolha o servidor de Web e o clique submete-sesegundo as indicaes da imagem.

Etapa 8. Uma vez que voc clique se submete, voc consegue a opo selecionar o tipo decertificado, de Base-64 seleto codificado e de certificate chain da transferncia do clique segundoas indicaes da imagem.

Etapa 9. A transferncia do certificado terminada para o server ISE. Voc pode extrair ocertificado, o certificado conter dois Certificados, um certificado de raiz e o outro intermedirio. Ocertificado de raiz pode ser importado sob a administrao > Certifictes > certificados confiveis >importao segundo as indicaes das imagens.

Etapa 10. Uma vez que voc clique se submete, o certificado est adicionado lista do certificadoconfivel. Tambm, o certificado intermedirio precisado a fim ligar com o CSR segundo asindicaes da imagem.

Etapa 11. Uma vez que voc clica sobre o certificado do ligamento, h uma opo para escolhero arquivo certificado salvar em seu desktop. Consulte ao certificado intermedirio e o cliquesubmete-se segundo as indicaes da imagem.

Etapa 12. A fim ver o certificado, navegue administrao > aos Certificados > aos Certificadosdo sistema segundo as indicaes da imagem.

Cliente para o EAP-TLS

Certificado de usurio da transferncia na mquina cliente (rea de trabalho do Windows)

Etapa 1. A fim autenticar um usurio Wireless com o EAP-TLS, voc tem que gerar um certificadode cliente. Conecte seu computador Windows rede de modo que voc possa alcanar o server.Abra um navegador da Web e incorpore este endereo: ADDR de https://sever IP/certsrv---

Etapa 2. Note que CA deve ser o mesmo com que o certificado foi transferido para o ISE.

https://sever%20ip%20addr/certsrv---

Para isto, voc precisa de consultar para o mesmo server de CA que voc se usou para transferiro certificado para o server. Em mesmo CA, pedido do clique um certificado como feitopreviamente, porm esta vez voc precisa de selecionar o usurio como o molde de certificadosegundo as indicaes da imagem.

Etapa 3. Ento, certificate chain da transferncia do clique como foi feito previamente para oserver.

Uma vez que voc obtm os Certificados, siga estas etapas a fim importar o certificado no porttildos indicadores.

Etapa 4. A fim importar o certificado, voc precisa de alcan-lo do Microsoft ManagementConsole (MMC).

A fim abrir o MMC navegue ao Iniciar > Executar > ao MMC.1.Naveguepara arquivar o > Add/remova a presso dentro2.Fazer duplo clique Certificados.3.Selecione a conta do computador.4.Selecione o computador local > o revestimento5.Clique a APROVAO a fim retirar Presso-no indicador.6.

Clique o [+] ao lado dos Certificados > pessoal > Certificados.7.Clicar com o boto direito em Certificados e selecione todas as tarefas > importao.8.Clique em Next.9.

O clique consulta.10.Selecione .cer, o .crt, ou o .pfx que voc gostaria de importar.11.Clique aberto.12.Clique em Next.13.Selecione automaticamente seleto a loja do certificado baseada no tipo de certificado.14.Clique o revestimento & a APROVAO15.

A importao do certificado feita uma vez, voc precisa de configurar seu cliente Wireless (reade trabalho do Windows neste exemplo) para o EAP-TLS.

Perfil wireless para o EAP-TLS

Etapa 1. Mude o perfil wireless que foi criado mais cedo para o protocolo extensible authenticationprotegido (PEAP) a fim usar pelo contrrio o EAP-TLS. Clique o perfil do Sem fio EAP.

Etapa 2. Selecione Microsoft: Placa inteligente ou a outra APROVAO do certificado e do cliquesegundo as indicaes da imagem.

Etapa 3. Clique ajustes e selecione o certificado de raiz emitido do server de CA segundo asindicaes da imagem.

Etapa 4. Clique ajustes avanados e selecione a autenticao do usurio ou do computador daaba dos ajustes do 802.1x segundo as indicaes da imagem.

Etapa 5. Agora, tente conectar outra vez rede Wireless, selecionam o perfil correto (EAP nesteexemplo) e conectam-no. Voc conectado rede Wireless segundo as indicaes da imagem.

Verificar

Use esta seo para confirmar se a sua configurao funciona corretamente.

Etapa 1. O EAP-tipo do cliente deve ser EAP-TLS. Isto significa que o cliente terminou aautenticao, com o uso do EAP-TLS, endereo IP de Um ou Mais Servidores Cisco ICM NTobtido e est pronto para passar o trfego segundo as indicaes das imagens.

Etapa 2. Est aqui o detalhe do cliente do CLI do controlador (sada grampeada):

(Cisco Controller) >?show client detail 34:02:86:96:2f:b7

Client MAC Address............................... 34:02:86:96:2f:b7

Client Username ................................. Administrator

AP MAC Address................................... c8:f9:f9:83:47:b0

AP Name.......................................... AP442b.03a9.7f72

AP radio slot Id................................. 1

Client State..................................... Associated

Client User Group................................ Administrator

Client NAC OOB State............................. Access

Wireless LAN Id.................................. 6

Wireless LAN Network Name (SSID)................. ME_EAP

Wireless LAN Profile Name........................ ME_EAP

Hotspot (802.11u)................................ Not Supported

BSSID............................................ c8:f9:f9:83:47:ba

Connected For ................................... 18 secs

Channel.......................................... 56

IP Address....................................... 10.127.209.55

Gateway Address.................................. 10.127.209.49

Netmask.......................................... 255.255.255.240

IPv6 Address..................................... fe80::2818:15a4:65f9:842

--More-- or (q)uit

Security Policy Completed........................ Yes

Policy Manager State............................. RUN

Policy Type...................................... WPA2

Authentication Key Management.................... 802.1x

Encryption Cipher................................ CCMP-128 (AES)

Protected Management Frame ...................... No

Management Frame Protection...................... No

EAP Type......................................... EAP-TLS

Etapa 3. No ISE, navegue ao contexto Visbility > pontos finais > atributos segundo as indicaesdas imagens.

Troubleshooting

Atualmente, no existem informaes disponveis especficas sobre Troubleshooting para estaconfigurao.

Compreenda e configurar o EAP-TLS com a mobilidade expressa e o ISEndiceIntroduoPr-requisitosRequisitosComponentes Utilizados

Informaes de ApoioFluxo do EAP-TLSEtapas no fluxo do EAP-TLS

ConfigurarMobilidade de Cisco expressaISE com a mobilidade de Cisco expressaAjustes do EAP-TLS

Ajustes expressos da mobilidade no ISECertificado de confiana no ISECliente para o EAP-TLSCertificado de usurio da transferncia na mquina cliente (rea de trabalho do Windows)

Perfil wireless para o EAP-TLS

VerificarTroubleshooting