无 线 802.X 计 算 机 认 证 与 用 户 认 证 With FortiAuthenticator and Widonws AD 版 本 1.0 时 间 支 持 的 版 本 作 者 状 态 反 馈 2015 年 9 月 Fortios v5.0.x 及 以 上 版 本 李 威 峰 草 稿 support_cn@fortinet.com 特 别 的 提 示
目 录 介 绍... 3 测 试 拓 扑... 3 组 件... 4 认 证 原 理... 4 配 置 过 程... 5 FortiAC 配 置... 5 FAC 配 置... 6 1. 配 置 远 程 LDAP 服 务 器 和 把 FAC 自 身 加 入 Windows 域... 7 2. 修 改 本 地 DNS 指 向 与 域 集 成 的 那 台 DNS... 8 3.EAP 服 务 器 证 书... 9 4. 配 置 Radius 服 务 client... 10 Windows AD 配 置... 12 计 算 机 认 证 测 试... 12 1. 连 接 该 SSID 时, 需 要 手 工 点 击 该 SSID 连 接... 12 2. 在 FortiAC 上 观 察, 此 认 证 已 经 通 过... 13 3. 在 FAC 上 观 察,Windows Device Logins 下 显 示 计 算 身 份 认 证 成 功 的 计 算 机... 13 4. 抓 包 分 析... 13 5. 认 证 通 过 后 客 户 端 自 动 生 成 的 配 置... 15 6. 重 启 windows, 开 机 后 观 察 802.1X 计 算 机 认 证 状 态... 16 普 通 Windons 使 用 域 上 帐 号 认 证 测 试... 17 1. 连 接 该 SSID... 17 2.FortiAC 上 能 够 看 到 用 户 认 证 通 过... 19 3. 抓 包 分 析... 19 加 入 域 的 计 算 机 单 点 登 录 认 证 测 试... 20 使 用 手 机 连 接 802.1x... 21 总 结... 23 参 考 文 档... 23 Fortinet 公 司 第 2 页 / 共 23 页 www.fortinet.com.cn
介 绍 在 无 线 802.1X 计 算 机 认 证 与 用 户 认 证 with Windows IAS(NPS) 中, 已 经 介 绍 了 802.1X 认 证 的 搭 配, 其 中 一 段 话 如 果 MS-CHAP-V2 内 层 身 份 认 证 后, 就 要 求 Radius 能 够 访 问 用 户 密 码 的 MD4 散 列 值, 也 要 求 密 码 是 MD4 散 列 值 方 式 存 储 当 然 也 可 以 通 过 巧 妙 的 设 计 进 行 变 通 访 问, 详 细 见 其 它 文 章 本 文 就 详 细 介 绍 在 不 安 装 Windows IAS(NPS) 的 情 况 如 何 使 用 FortiAuthenticator( 以 下 简 称 FAC) 外 挂 Windows DC 实 现 变 通 的 访 问, 确 切 的 说, 是 拿 着 Radius 中 认 证 客 户 端 提 供 MS-CHAP-V2 的 Radius-Request 中 质 询 响 应 和 质 询 值 到 Windows DC 上 去 认 证 (NETLOGON ) FortiAuthenticator 是 Fortinet 公 司 强 大 的 认 证 和 授 权 服 务 器, 能 够 实 现 复 杂 的 需 求, 并 能 够 外 挂 远 程 的 Radius 和 LDAP 服 务 器, 在 复 杂 的 认 证 场 景 下 强 烈 推 荐 使 用 另 外 : 在 802.1X 认 证 中, 如 果 认 证 客 户 端 提 供 密 码 不 使 用 明 文 方 式,( 如 MS-CHAP-V2 提 供 的 是 质 询 响 应 和 质 询 值 ), 在 FortiAC 通 过 LDAP 服 务 器 方 式 无 法 实 现 认 证 测 试 拓 扑 Fortinet 公 司 第 3 页 / 共 23 页 www.fortinet.com.cn
如 上 图 所 示, 要 求 的 基 础 配 置 如 下 : 1. FAP 注 册 到 FortiAC, FAP 发 布 的 SSID 启 用 本 地 转 发 ( 隧 道 模 式 也 可 ) 模 式 2. FAP 发 布 的 SSID 下 的 认 证 方 式 配 置 为 WPA-Enterprise 企 业 认 证 3. WPA-Enterprise 认 证 数 据 库 选 择 Radius 4. FAC 配 置 外 挂 远 程 LDAP 服 务 器 并 作 为 计 算 机 加 入 该 Windows 域 5. FAC 配 置 Radius 客 户 端 和 EAP 证 书 和 EAP 方 法 6. 认 证 的 无 线 终 端 加 入 域 了, 且 在 DC 上 的 目 录 结 构 中 能 够 computers 下 看 到 相 应 的 计 算 机 组 件 名 称 型 号 版 本 数 量 备 注 无 线 控 制 器 FortiGate( V5.2.3 1 FortiAC) FAP FAP223 V5.0.10 1 Windows DC 服 务 Windows 2003R2 1 器 FAC 服 务 器 FAC VM 版 v4.00-build0015 1 无 线 测 试 终 端 Thinkpad220 Windows7 64 位 旗 舰 版 1 认 证 原 理 认 证 前 置 条 件 : FAC 作 为 计 算 机 加 入 Windows 域, 并 且 作 为 LDAP 客 户 端 能 够 查 询 LDAP 的 目 录 结 构 认 证 过 程 : 1. 建 立 PEAP 保 护 通 道, 即 TLS 通 道 2. 在 保 护 的 TLS 通 道 内 进 行 MS-CHAP-V2 认 证, 即 所 有 的 MS-CHAP-V2 交 换 过 程 由 TLS 保 护,FortiAC 作 为 NAS 并 不 清 楚 里 面 交 互 了 什 么 内 容,FortiAC 仅 仅 把 认 证 EAP 的 报 文 封 装 在 Radius 消 息 中 ( 即 FortiAC 充 当 了 EAP 中 继 的 角 色, 这 与 Fortinet 公 司 第 4 页 / 共 23 页 www.fortinet.com.cn
802.1X 认 证 选 择 本 地 或 远 程 用 户 组 不 同 ) 交 互 内 容 如 下 : 计 算 机 认 证 身 份 是 以 host/ 计 算 机 名 的 格 式 作 为 认 证 标 识 ( 即 我 们 常 说 的 用 户 帐 号 ), 密 码 是 在 加 入 计 算 机 加 入 域 过 程 中 生 成 的 密 码 (MD4 方 式 存 储 ) 然 后 通 过 MS-CHAP-V2 的 方 式 FortiAC 的 Radius 报 文 封 装, 传 递 给 FAC 时 进 行 交 互 3.FAC 使 用 通 过 LDAP 语 句 查 询 该 认 证 对 象 的 DN, 如 果 查 找 不 到, 认 证 到 此 失 败 ( 仅 仅 是 验 证 下 该 对 象 在 LDAP 中 是 否 存 在 ) 4.FAC 通 过 DCERPC(TCP445 端 口 ) 的 Netlogon 方 法 使 用 认 证 对 象 的 身 份 ( 登 录 名 samaccountname) 和 密 码 (MS-CHAP-V2 的 质 询 值 和 质 询 响 应 ) 到 Windows DC 上 认 证 5. 如 果 认 证 成 功, 通 知 Radius 模 块, 然 后 FAC 返 回 Radius-accept 消 息 给 FortiAC 6.802.1X 客 户 端 认 证 成 功 配 置 过 程 FortiAC 配 置 1. 配 置 Radius client 确 保 两 端 预 共 享 机 密 一 致 2. 配 置 SSID 下 的 802.1X 认 证 Fortinet 公 司 第 5 页 / 共 23 页 www.fortinet.com.cn
注 意, 默 认 802.1x 认 证 后 空 口 层 面 的 加 密 是 AES 3. 把 该 802.x 的 SSID 下 发 到 AP( 先 加 入 到 AP 的 配 置 文 件, 然 后 把 配 置 文 件 下 发 到 AP) FAC 配 置 FAC 要 计 算 机 的 角 色 加 入 域 Fortinet 公 司 第 6 页 / 共 23 页 www.fortinet.com.cn
1. 配 置 远 程 LDAP 服 务 器 和 把 FAC 自 身 加 入 Windows 域 以 上, 也 可 以 选 择 安 全 的 连 接 点 击 浏 览 按 钮 可 以 测 试 是 否 能 够 查 询, 如 果 能 查 询 到 目 录, 说 明 LDAP 查 询 配 置 基 本 成 功 配 置 该 FAC 加 入 域 Fortinet 公 司 第 7 页 / 共 23 页 www.fortinet.com.cn
点 击 OK 2. 修 改 本 地 DNS 指 向 与 域 集 成 的 那 台 DNS 然 后 可 以 观 察 FAC 是 否 加 入 了 域 Fortinet 公 司 第 8 页 / 共 23 页 www.fortinet.com.cn
在 Windows 活 动 目 录 下 的 Computers 能 够 看 到 FAC 作 为 计 算 机 加 入 了 域 3.EAP 服 务 器 证 书 配 置 EAP 服 务 端 证 书 Fortinet 公 司 第 9 页 / 共 23 页 www.fortinet.com.cn
该 服 务 器 证 书 使 用 FAC 生 成 并 经 FAC Local CA 签 名 EAP-TLS authentication Local ca 用 途 另 有 文 档 介 绍 4. 配 置 Radius 服 务 client Fortinet 公 司 第 10 页 / 共 23 页 www.fortinet.com.cn
其 中 Use Windows AD domain authentication 选 项 非 常 重 要, 最 重 要 的 是 Radius-Requese 中 MS-CHAP-V2 中 提 供 的 密 码 (challenge-reponse 和 Challenge) 到 Windows DC 转 换 成 Netlogon 方 式 认 证 配 置 外 层 EAP 方 法 到 此,FAC 基 本 配 置 完 毕 Fortinet 公 司 第 11 页 / 共 23 页 www.fortinet.com.cn
Windows AD 配 置 Windows AD 上 不 需 要 做 特 殊 的 配 置, 也 不 像 使 用 IAS 那 样 需 要 把 需 要 使 用 无 线 802.1x 认 证 的 计 算 机 和 帐 号 允 许 远 程 拨 入 因 为 没 有 使 用 IAS 远 程 拨 号 访 问 服 务 器 方 式 访 问 帐 号 或 计 算 机 计 算 机 认 证 测 试 1. 连 接 该 SSID 时, 需 要 手 工 点 击 该 SSID 连 接 Fortinet 公 司 第 12 页 / 共 23 页 www.fortinet.com.cn
点 击 连 接 后, 在 不 需 要 输 入 用 户 和 密 码 的 情 况 下, 认 证 通 过 2. 在 FortiAC 上 观 察, 此 认 证 已 经 通 过 3. 在 FAC 上 观 察,Windows Device Logins 下 显 示 计 算 身 份 认 证 成 功 的 计 算 机 4. 抓 包 分 析 802.1x 客 户 端 使 用 的 计 算 机 认 证 方 式 ( 有 点 特 殊, 不 需 要 使 用 LDAP 查 询 ) 完 整 报 文 jsj-auth-fac.pcapng Fortinet 公 司 第 13 页 / 共 23 页 www.fortinet.com.cn
DCERPC Netlogon 请 求 报 文 DCERPC Netlogon 响 应 报 文 Fortinet 公 司 第 14 页 / 共 23 页 www.fortinet.com.cn
5. 认 证 通 过 后 客 户 端 自 动 生 成 的 配 置 最 主 要 的 是 生 成 了 使 用 计 算 机 身 份 认 证 (Window 默 认 使 用 计 算 机 名 认 证 方 式,), 如 果 计 算 机 身 份 无 法 通 过, 使 用 windows 登 录 信 息 进 行 验 证 还 有 以 下 其 它 选 项, 注 意 : 使 用 计 算 机 验 证, 自 动 使 用 windows 登 录 名 和 密 码 就 没 有 用 了 Fortinet 公 司 第 15 页 / 共 23 页 www.fortinet.com.cn
6. 重 启 windows, 开 机 后 观 察 802.1X 计 算 机 认 证 状 态 刚 刚 开 启 后, 没 有 登 录 windows 没 有 登 录 window, 但 是 已 经 连 接 上 无 线 了 Fortinet 公 司 第 16 页 / 共 23 页 www.fortinet.com.cn
普 通 Windons 使 用 域 上 帐 号 认 证 测 试 1. 连 接 该 SSID Fortinet 公 司 第 17 页 / 共 23 页 www.fortinet.com.cn
其 中 详 细 信 息 中 大 概 意 思 是 CA 证 书 不 可 信, 这 个 因 为 给 EAP 服 务 器 证 书 签 发 的 ROOT CA 没 有 导 入 到 认 证 计 算 机 中 Fortinet 公 司 第 18 页 / 共 23 页 www.fortinet.com.cn
2.FortiAC 上 能 够 看 到 用 户 认 证 通 过 3. 抓 包 分 析 完 整 的 包, 可 以 看 到 FAC 拿 到 用 户 名 时 先 使 用 LDAP 查 询 语 句 进 行 查 询, 然 后 再 似 乎 用 DCE RPC Netlogon 进 行 登 录 user-auth-fac.pcapng Fortinet 公 司 第 19 页 / 共 23 页 www.fortinet.com.cn
加 入 域 的 计 算 机 单 点 登 录 认 证 测 试 domain-user-auth-fac.pcapng 当 使 用 域 登 录 方 式 登 录 系 统 时,802.1x 认 证 客 户 端 会 使 用 D\wfli 这 样 形 式 认 证 因 为 FAC 不 知 道 D\wfli 是 什 么, 直 接 拒 绝, 此 处 暂 有 问 题 正 确 认 证 通 过 后, 应 该 是 : Fortinet 公 司 第 20 页 / 共 23 页 www.fortinet.com.cn
使 用 手 机 连 接 802.1x 华 为 荣 耀 6 需 要 明 确 指 定 阶 段 2 身 份 验 证 方 式 为 MSCHAPV2 Fortinet 公 司 第 21 页 / 共 23 页 www.fortinet.com.cn
需 要 明 确 指 明 使 用 MS-CHAP-V2 方 式 认 证 抓 包 手 机 不 显 式 指 定 mschap2.pcapng Fortinet 公 司 第 22 页 / 共 23 页 www.fortinet.com.cn
手 机 显 示 指 定 mschapv2.pcapng 总 结 FAC 能 够 实 现 关 于 无 线 802.X 计 算 机 认 证 与 用 户 认 证 With window IAS (NPS).docx 文 档 中 的 计 算 机 认 证 和 用 户 认 证 分 配 到 不 同 的 vlan 的 需 求 目 前 在 加 入 域 的 计 算 机 使 用 域 帐 号 单 点 登 录 时 仍 有 一 点 问 题 参 考 文 档 Fortinet 公 司 第 23 页 / 共 23 页 www.fortinet.com.cn