Einleitung
Die EAP-Authentifizierung ermöglcht es dem Benutzer, sich mit seinem Domänen-Konto am verschlüsselten WLAN anzumelden. Da die NAC die Authentifizeriungsdaten erhält, kann der Benutzer auch ohne eine weitere Authentifizierung (SingleSignON) am Portal angemeldet werden.
Ziel dieses Howtos ist es, ein Netzwerk so einzurichten, dass sich Benutzer über das Domänenkonto an dem WLAN/NAC anmelden können.
Der Domäne beitreten
Der erste Schritt besteht darin, die NAC in die Domäne zu integrieren.
Um dies zu erreichen führen wir folgende Schritte durch: 1. Wir tragen unter "Netzwerk" -> "Controller" die Domäne ein, in der sich unser Active Directory befindet. In unserem Fall ist das nac.local.
2. Wir tragen unter "Authentifizierung" -> "Windows" den Domänencontroller ein.
Nach einem Klick auf "Bestätigen" wird die NAC in die Domäne aufgenommen.
Radius-Konfiguration mit EAP Reauthentifizierung
erneute Authentifizierung via NAS
Die erneute, vom NAS unterstützte, Authentifizierung wird vom NAS veranlasst, d.h. der NAS gibt den Befehl zum erneuten Anmelden. Sie können hier den Authentifizierungsintervall angeben, nach dem eine erneute Authentifizierung gefordert wird.
Erneute Authentifizierung via Controller
Die erneute, vom Controller unterstützte, Authentifizierung wird direkt vom Controller veranlasst, d.h. es muss sich kein NAS im Netzwerk befinden, um die erneute Authentifizierung zu fordern. Auch hier können Sie den Authentifizierungsintervall einstellen.
Einstellungen am Windows-Server
Um die EAP-Authentifizierung zu verwenden, muss der NAC in die lokale Domäne integriert werden. Daher sollte der Server extern stehen, da sonst die Domäne geändert werden muss, wodurch das Zertifikat ungültig wird.
Navigieren Sie im Server-Manager nach Rollen -> Netzwerkrichtlinien- und Zugriffsdienste -> NPS (lokal) und richten Sie die folgenden Bereiche wie folgt ein.
RADIUS-Clients und -Server
Hier werden die Clients aufgeführt, welche an der NAC registriert sind.. Hier muss die NAC aufgeführt sein, damit eine Authentifizierung erfolgen kann. Wir sehen in der Liste die "nac" mit der IP-Adresse 192.168.176.254 aufgeführt. In den Eigenschaften der Clients wird z.B. auch der gemeinsame geheime Schlüssel aufgeführt.
Richtlinien
Über die Richtlinien können Sie festlegen, unter welchen Bedingungen eine Verbindung hergestellt werden darf.
Benutzereinstellungen
In den Benutzereinstellungen des Active Directory muss in den Eigenschaften des Benutzers, unter dem Reiter "Einwählen", der Punkt "Zugriff über NPS-netzwerkrichtlienien steuern" gesetzt sein.
Achtung: Ist dies nicht der Fall, ist eine Authentifizierung unmöglich.
Einstellungen am WLAN-Access-Point
Damit die Authentifizierung funktioniert, müssen Sie im WLAN-Access-Point die NAC als Radius-Server eintragen. Will sich nun ein Benutzer anmelden, gleicht die NAC die Benutzerdaten mit dem Radius-Server ab, prüft die Richtlinien und der Benutzer kann sich einloggen.
