É requerida uma PKI ao autenticar um Cisco Aironet AP via raio contra o AD

Question

Somos um pequeno escritório e temos um ponto de acesso do Cisco Aironet 1250 definido como WPA-PSK. Agora que implantamos o Active Directory, eu gostaria de começar a autenticar meus usuários via radius em vez de um PSK.

Para esse fim, instalei o NPS no meu servidor SBS 2011. Os clientes WiFi são alguns laptops da empresa, alguns iPhones pessoais, iPads, telefones Android, etc. uma mistura de todos os tipos de dispositivos, nem todos associados ao domínio.

Parece que todos os métodos de autenticação que envolvem raio suportados pelo Aironet exigem algum tipo de infraestrutura de PKI. Consegui configurar facilmente o Cisco ASA 5505 para autenticar clientes VPN IPSEC contra o mesmo servidor radius, mas não consigo descobrir como configurar o Aironet. Eu realmente preciso instalar o certificado do meu servidor NPS em todos esses dispositivos, como eu já vi algumas pessoas sugerirem?

    

Answer 1

Os pontos Cisco Access podem usar duas formas comuns de autenticação por usuário 802.1X. O 802.1X EAP exigiria certificados para o servidor NPS, os computadores clientes e os usuários clientes. Isso geralmente é feito apenas com o uso de cartões inteligentes, de forma que o certificado do usuário os siga.

O outro método mais comum de usar o 802.1X para fazer a autenticação por usuário é o PEAP 802.1X, que usa um certificado no servidor NPS para que os clientes possam validar o servidor e o nome de usuário e a senha do Windows do usuário. autenticação de cliente quando o usuário faz logon. Além disso, a conta de computador de domínio do Windows é usada para autenticação sem fio quando nenhum usuário estiver conectado, por isso é importante lembrar se você estiver usando grupos na regra do NPS, inclua um grupo que tenha todos os computadores além de todos os usuários. p>

Observe que o ponto de acesso não obtém um certificado. O cliente é chamado de "suplicante" e o servidor precisa autenticá-lo. O servidor NPS é o "servidor de autenticação" e os clientes precisam autenticá-lo. No entanto, o ponto de acesso é chamado de "autenticador" e está sendo intermediário entre o suplicante e o servidor de autenticação, portanto, os clientes não precisam autenticá-lo. O servidor NPS "autentica" o ponto de acesso em virtude dos segredos compartilhados do RADIUS.

Por fim, isso não precisa ser um certificado SSL de confiança pública. Você pode configurar uma CA corporativa em seu domínio e todos os computadores no domínio confiarão nela.

Espero que isso ajude!

-Eric