WLAN absichern 802.1x EAP-TLS mit MS IAS

[dimatrix 10]

Hallo zusammen,

 

ich benötige eure Unterstützung bzw. Hilfestellung beim nachfolgenden Anliegen:

 

im Moment habe ich unser Firmen WLAN mit PEAP MS CHAP v2 abgesichert. Die Benutzerauthentifizierung läuft über einen MS IAS. IAS ist im AD registriert. Das entsprechende Serverzertifikat für die PEAP Nutzung wurde mit Hilfe von OpenSSL ausgestellt. Alles läuft prima.

 

Ich plane unsere WLAN-Clients (Domänenmitglieder) per EAP-TLS also Serverseitig und Clientseitig per Zertifikate zu authentifizieren. Ich bin bereits einen längere Zeit am suchen, tun und testen um eine solche Konstellation hinzubekommen. Bislang ohne Erfolg.

 

Eingesetzt wird en Win2003 Std. Server mit IAS und MS CA. Als AP wird Lancom L-322 dual Wireless als WLAN - Controller der Lancom WLC-4006. CA wurde als Stand-alone root CA des Unternehmens erstellt. RootCA und Clientzertifikat wurde auf die betroffenen Clients verteilt.

 

IAS Konfiguration:

 

Radius-Client: ist Lancom WLC-4006 WLAN - Controller mit entsprechender IP und gemeinsamen Schlüssel eingetragen. Atribut "Message Authenticator" ist aktiviert.

 

Ras-Richtlinie: Typ: Drahtlos - Anderer und Drahtlos - IEEE 802.11 eingestellt. Smartcard oder anderes Zertifikat ist als Authentifizierungsmethode eingestellt. Als Indentitätsnachweis wurde das von der MS CA ausgestellte Serverzertifikat ausgewählt.

 

Verbindungsanforderungsrichtlinien: Benutzer ohne Bestätigung der Aneldeinformationen annehmen ist aktiviert.

 

WLAN-Client Konfiguration:

 

WPA2 Enterprise

AES

Auth: MS Smartcard oder anderes Zertifikat -> Einstellungen:

Zertifikat auf diesem Computer verwenden

Serverzertifikat überprüfen

Vertratuenswürdige Stammzertifizierungstelle: austellende Root CA

 

Bei der WLAN - Verbindung wird permanent angezeigt "Identität wird bestätigt" und das wars :-(. Der Client kommt nicht über diese Meldung hinaus. Die WLAN-Anbindung kommt nichtz zu Stande.

 

Im IAS Log erscheint auch ein Eintrag das der Client sich erfolgreich angemeldet hat.

 

IAS Log:

 

Ereignistyp: Informationen

Ereignisquelle: IAS

Ereigniskategorie: Keine

Ereigniskennung: 1

Datum: 07.02.2011

Zeit: 13:13:19

Benutzer: Nicht zutreffend

Computer: FRAIAS001

Beschreibung:

Benutzer "fraias001" wurde Zugriff gewährt.

Vollqualifizierter Benutzername = <unbestimmt>

NAS-IP-Adresse = 192.168.16.194

NAS-Kennung = FRA-WLAN

Clientanzeigename = FRA-WLAN

Client-IP-Adresse = 192.168.16.194

Kennung der Anruferstation = 00-1D-E0-98-68-2B

NAS-Porttyp = Wireless - IEEE 802.11

NAS-Port = 1

Proxyrichtlinienname = Windows-Authentifizierung für alle Benutzer verwenden

Authentifizierungsanbieter = <kein>

Authentifizierungsserver = <unbestimmt>

Richtlinienname = <unbestimmt>

Authentifizierungstyp = <unbestimmt>

EAP-Typ = <unbestimmt>

 

Hat jemand eine Ahnung wo das Problem liegt. Bin um jeden Rat dankabr.

 

Falls mehr Informationen benötigt werden, bitte Bescheid geben.

 

Danke im Voraus.

[BigKitKat 10]

Mahlzeit,

 

konntest Du das Setup zum laufen bekommen? Sitze an einem identischen Setup nur noch am Anfang und versuche im vorfeld Stolpersteine auszuloten.

 

 

MfG Matthias