NAC设备(CCA) ：活动目录Windows选择签订合同(SSO)配置和故障排除

Size: px

Start display at page:

Download "NAC设备(CCA) ：活动目录Windows选择签订合同(SSO)配置和故障排除"

宽圭
5 years ago
Views:

1 NAC 设备 (CCA) : 活动目录 Windows 选择签订合同 (SSO) 配置和故障排除目录简介先决条件要求使用的组件规则配置 Windows SSO 设置 AD SSO 供应商运行在 DC 的 KTPass 配置在 CAS 的 SSO 验证 SSO 服务开始 DC 的开放端口客户端看到代理程序执行的 SSO 完成的 SSO 在线用户用户列表看到的 SSO 用户排除故障 Windows SSO Error: 不能开始 SSO 服务请检查配置客户端验证不工作无法运行在 windows 7 PC 的 SSO 无法配置一个用户的 Linux 客户端支持美洲台环境的 SSO 服务开始, 但是客户端不执行 SSO Kerbtray CAS 日志不能开始 SSO 服务已知相关信息简介本文描述如何使用 Microsoft Windows 激活目录 (AD) 单个符号 (SSO) 为了配置和排除故障思科网络准入控制 ( 美洲台 ) 设备, 以前叫作思科 Clean Access (CCA) 先决条件要求尝试进行此配置之前, 请确保满足以下要求 :

2 确保 DC 运行 Windows 2000 SP4 或 Windows 2003 年 ( 英文虎报或企业 ) SP1 或 Windows 2003 个 R 年不支持没有 SP1 的 Windows 确保 Windows SSO 仅 AD 环境支持不支持 Windows NT 环境 Clean Access 代理程序要求设置 Clean Access 服务器 (CAS) 帐户正如 Cisco NAC 设备所描述 - Clean Access 服务器安装和配置指南, 版本 4.1(2) 使用的组件本文档中的信息根据 NAC 设备软件版本 4.x 或以上本文档中的信息都是基于特定实验室环境中的设备编写的本文档中使用的所有设备最初均采用原始 ( 默认 ) 配置如果您使用的是真实网络, 请确保您已经了解所有命令的潜在影响规则有关文档规则的详细信息, 请参阅 Cisco 技术提示规则配置 Windows SSO 在此部分的信息描述如何配置在本文提交的功能设置 AD SSO 供应商您不可执行验证测验到 AD SSO 供应商或 VPN SSO LDAP 查找服务器必要, 只有当用户要执行 AD SSO 的映射规则, 因此在 AD SSO 以后, 用户在根据 AD 属性的角色将安置这不是需要的获得基本 SSO 工作 ( 没有角色映射 ) 运行在 DC 的 KTPass KTPass 是工具联机作为 Windows 的部分 2000/2003 支持工具参考的 Cisco NAC 设备 - Clean Access 服务器安装和配置指南, 发布 4.1(2) 欲知更多信息当您运行 KTPass 时, 请注意总是下跌在 / 匹配 DC 的名称, 因为将看起来在控制面板 >System > 计算机名称下 > 在 DC 的全双工计算机名称并且, 的领域名突出显示了总是在大写字母 C:\Program Files\Support Tools>ktpass -princ ccasso/prem-vm-2003.win2k3.local@win2k3.local -mapuser ccasso -pass Cisco123 -out c:\test.keytab -ptype KRB5_NT_PRINCIPAL +DesOnly Using legacy password setting method //confirms ccasso acct is mapped Successfully mapped ccasso/prem-vm-2003.win2k3.local to ccasso. Key created. Output keytab to c:\test.keytab Keytab version: 0x502 keysize 80 ccasso/prem-vm win2k3.local@WIN2K3.LOCAL ptype 1 (KRB5_NT_PRINCIPAL) vno 3 etype 0x17 (RC4-HMAC) keylength 16 (0xf2e787d376cbf6d6dd e9c215d) Account ccasso has been set for DES-only encryption. 如此示例所显示, 为了支持 Windows 7, 您必须运行 KTPASS : C:\Program Files\Support Tools>KTPASS.EXE -princ newadsso/[adserver.]domain.com@domain.com -mapuser newadsso -pass PasswordText -out c:\newadsso.keytab -ptype KRB5_NT_PRINCIPAL 并且, 的领域名突出显示了总是在大写字母

3 配置在 CAS 的 SSO 选择 CCA 服务器 > 管理 > 验证 > Windows 验证 > 活动目录 SSO 为了打开 AD 窗口, 并且验证这些项目 : 活动目录域 :Kerberos 领域 name= 需要大写激活目录服务器 (FQDN) : 确保 CAS 能通过 DNS 解析此名称此字段不可以是 IP 地址使用在本例中的值, 您能登录到 CAS 通过安全壳 SSH, 并且执行 nslookup prem-vm win2k3.local 然后, 请确保它成功地解决确保 FQDN 完全照原样匹配 AD 服务器 (DC) 的名称在控制面板 >System > 计算机名称下在 AD 服务器设备 (DC) 的全双工计算机名称验证 SSO 服务开始完成这些步骤 : 1. 去 CCA 服务器 > 管理 > 状态为了验证 SSO 服务开始 2. 运行此命令为了验证 CAS 在 TCP 8910 当前侦听 ( 用于 Windows SSO) [root@cs-ccas02 ~]#netstat -a grep 8910 tcp 0 0 *:8910 *:* LISTEN DC 的开放端口为了打开适当的端口到 DC, 请完成这些步骤 : 注意 : 对于测试, 总是请打开对 DC 的完整访问然后, 一旦 SSO 工作, 您能附加它向下到特定端口 1. 确保以下端口允许在对活动目录的不信任角色 :TCP :88, 135, 445, 389/636, 1025, 1026UDP :88, 389 注意 : TCP 端口 445 一定是开放的为了 Windows 密码重设能正确地运作 2. 保证客户端运行 CCA 代理程序或以上 3. 登陆到有 Windows 域凭证的 PC 注意: 确保您登录域而不是本地帐户客户端看到代理程序执行的 SSO 完成的 SSO 在线用户用户列表看到的 SSO 用户排除故障 Windows SSO Error: 不能开始 SSO 服务请检查配置您收到此错误 : 解决方案

4 要解决此, 请完成以下步骤 : 1. 检查正确地确保 KTPass 运行检查字段按照幻灯片 X. 所述是重要的如果 KTPass 不正确地运行了, 请删除帐户并且创建在 AD 的一新帐户并且再运行 KTPass 2. 确保在 CAS 的时间与 DC 同步此步骤可以通过指向他们执行两个同一时间服务器在实验室设置, 请指向 CAS 时间的 DC (DC 运行 Windows 时间 ) Kerberos 是敏感的计时, 并且反称性比 5 分钟 (300 秒 ) 不可以极大注意 : 当您设法开始 CAS 的 AD SSO 服务时, 也许发生在时间 syncronization, NTP 如果 NTP 配置, 并且时钟不是已同步的, 服务不会工作一旦修复服务应该工作 3. 确保活动目录域以大写 ( 领域 ), 并且 CAS 能解决在 DNS 的 FQDN 对于实验室设置, 运行 DNS 的您能指向 DC (AD 要求在租期一 DNS 服务器 ) 4. 登录 CAS 直接地作为 <CAS-IP-address>/admin 然后, 请点击支持日志并且改变记录对资讯台的活动目录通信的日志级别 5. 再现并且下载支持日志客户端验证不工作 AD SSO 服务开始, 但是客户端验证不工作解决方案 UDP 端口不是开放的在未经鉴定的角色在您添加这些端口到数据流策略后, 验证应该工作无法运行在 windows 7 PC 的 SSO SSO 不为运行 Windows 7 操作系统的机器工作解决方案 1 为了解决此, 运行 Windows 7 操作系统在计算机的 enable (event) DES 加密, 然后重新运行 KTPass 完成这些步骤为了启用在 Windows 7 PC: 的 DES 1. 登陆到 Windows 7 客户端机器作为管理员 2. 去启动 > 控制面板 >System 和安全 >Administrative Tools> 本地安全策略 > 本地策略 / 安全 > 选项 3. 选择网络安全 > 配置允许的加密类型 4. 在本地安全设置选项卡, 请检查复选框启用所有选项, 除了将来加密类型选项解决方案 2 ( 如果需要支持 Windows 7), 为了解决此, 请运行此 on 命令 Windows 2003 服务器 : C:\Program Files\Support Tools> ktpass.exe -princ casuser/cca-eng-domain.cisco.com@cca-eng-domain.cisco.com-mapusercasuser -pass Cisco123 -out c:\casuser.keytab -ptype KRB5_NT_PRINCIPAL 欲知更多信息, 参考配置在 Windows 7 环境的 AD SSO 无法配置用户的 Linux 客户端支持美洲台环境的

5 无法配置一个用户的 Linux 客户端支持美洲台环境的解决方案 Linux 不支持 Web 代理程序或代理程序美洲台与仅 Web 洛金的支持 Linux 没有任何状态评估一旦计算机通过 Web 洛金验证, 用户应该分配到您配置的一个最终用户角色用户根据用户角色的数据流策略然后将访问参考 Cisco Bug CSCti54517 ( 仅限注册用户 ) 欲知更多信息 SSO 服务开始, 但是客户端不执行 SSO 这通常归结于某个通信在 DC/client PC 之间或在客户端 PC 和 CAS 之间这是验证的一些工作 : 客户端有 Kerberos 密钥端口是开放的对 DC, 因此客户端能连接, 接收代理程序日志, 并且接收注册 CAS 时间或时钟在客户端 PC 与 DC 同步确认 CAS 在端口 8910 侦听在客户端 PC 的嗅探器跟踪也将帮助 CCA 代理程序是或以后使用本地帐户, 用户实际上登陆使用域帐户和不 Kerbtray Kerbtray 可以用于确认客户端获取 Kerberos 票 (TGT 和 ST) 注意事项是为服务票 (ST), 是为该 CAS 的帐户您创建在 DC Kerbtray 是从 Microsoft 支持工具的一自由工具可得到它可能也用于清除在客户端机器的 Kerberos 票在系统托盘的一个绿色 Kerbtray 图标表明客户端有活动 Kerberos 票然而, 您需要验证票为 CAS 帐户是正确 ( 有效 ) CAS 日志不能开始 SSO 服务日志文件在 CAS 的利益是 /perfigo/logs/perfigo-redirect-log0.log.0 AD SSO 服务在 CAS 不开始是 CAS-DC 通信 : 1. SEVERE: startserver - SSO Service authentication failed. Clock skew too great (37) Aug 3, :52:48 PM com.perfigo.wlan.jmx.admin.gssserver logintokdc 这意味着时钟没有同步在 CAS 和域控制器之间 2. Aug 21, :39:11 PM com.perfigo.wlan.jmx.admin.gssserver logintokdc INFO: GSSServer - SPN : [ccass/prem-vm-2003.win2k3public.local@win2k3public.local] Aug 21, :39:11 PM com.perfigo.wlan.jmx.admin.gssserver logintokdc SEVERE: startserver - SSO Service authentication failed. Client not found in Kerberos database (6) Aug 21, :39:11 PM com.perfigo.wlan.jmx.admin.gssserver startserver WARNING: GSSServer loginsubject could not be created. 这意味着用户名不正确注释错误用户名 ccass, 错误代码 6 和最后警告 3. Aug 21, :40:26 PM com.perfigo.wlan.jmx.admin.gssserver logintokdc

6 INFO: GSSServer - SPN : [ccasso/prem-vm-2003.win2k3public.local@win2k3public.local] Aug 21, :40:26 PM com.perfigo.wlan.jmx.admin.gssserver logintokdc SEVERE: startserver - SSO Service authentication failed. Pre-authentication information was invalid (24) Aug 21, :40:26 PM com.perfigo.wlan.jmx.admin.gssserver startserver WARNING: GSSServer loginsubject could not be created. 密码不正确或领域无效 ( 不以大写?) 坏 FQDN?KTPass 不正确地运行? 注释错误 24 和最后警告注意 : 确保 KTPass 版本是除非有 KTPass 一个坏版本, 即使脚本适当地运行, SSO 服务不会开始客户端 CAS 通信 : Aug 3, :03:05 AM com.perfigo.wlan.jmx.admin.gsshandler run SEVERE: GSS Error: Failure unspecified at GSS-API level (Mechanism level: Clock skew too great (37)) 当客户端 PC 时间没有与 DC 时, 同步此错误被看到注意 : 在此错误和那个之间的区别 CAS 时间没有与 DC 的地方同步已知 Cisco Bug ID CSCse64395 ( 仅限注册用户 ) 4.0 代理程序不解决 Windows SSO 的 DNS 此在 CCA 代理程序被解决 Cisco Bug ID CSCse46141 ( 仅限注册用户 ) 在启动期间, 万一 CAS 不能到达 AD 服务器 SSO 发生故障应急方案是去 CCA 服务器 > 管理 [CAS_IP] 验证 > Windows 验证 > 活动目录 SSO, 并且点击更新为了重新启动 AD SSO 服务进行在 CAS 的服务 perfigo 重新启动有高速缓冲存储, 当旧有凭证在 CAS 时被缓存, 并且不使用新的, 直到 Tomcat 重新启动您不能限制 SSO 的单个用户登录这是 SSO 的正常行为, 因为它是 Kerberos 协议, 并且没有选项限制单个用户登录 Kerberos 协议 Windows 7 和 Windows 2008 不支持 SSO, 当 SSO 使用 Windows 7 或 Windows 不支持 2008 年的 DES 加密相关信息 Cisco NAC Appliance (Clean Access) 支持页面技术支持和文档 - Cisco Systems

排除故障VNC模块安装失败

排除故障VNC模块安装失败排除故障 VNC 模块安装失败目录简介先决条件要求使用的组件背景信息问题安装失败起始失败解决方案简介当您配置工作人员镜像时, 本文描述如何排除故障虚拟网络计算 (VNC) 模块安装失败先决条件要求 Cisco 建议您了解以下主题 : Linux 接口虚拟机环境工作人员镜像使用的组件本文档中的信息基于以下软件版本 : CloudCenter 版本 4.x CentOS7 工作人员镜像本文档中的信息都是基于特定实验室环境中的设备编写的