补充:关于802.1X身份验证中CA证书的配置

最新推荐文章于 2026-04-23 09:42:22 发布
原创 最新推荐文章于 2026-04-23 09:42:22 发布 · 1.3w 阅读 · 9 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文提供了关于802.1X身份验证中CA证书配置的补充信息，特别是针对EAP-TLS和智能卡证书的设置。通过链接提供了详细的配置文档，以帮助解决验证过程中遇到的问题。

        前几天写了H3C和CISCO两种交换机的802.1X实现方法,但是有人联系我说CA没有配置好,验证不过去.由于时间关系,我这里不写出自己的配置文档.手上有一篇可供参考的配置文档,希望对大家有所帮助.电子版文档在我的究竟中资源里面去下载吧.地址:http://download.csdn.net/user/deflag

 使用EAP-TLS（智能卡与证书）实现802.1X－－－－验证服务器和交换机相关配置

For this configuration, complete the following steps:
1. Configure Active Directory for accounts and groups.
2. Configure the primary IAS server on a computer.
3. Configure the secondary IAS server on another computer.
netsh aaaa show config >c:/IAS.txt
netsh exec c:/IAS.txt
4. Deploy and configure your authenticating switches.
6. Configure a certificate infrastructure for EAP-TLS.
7. Install computer certificates on wired client computers (EAP-TLS).
8. Install user certificates on wired client computers (EAP-TLS).
9. Configure wired client computers for EAP-TLS.
10.Configure wired client computers for EAP-MD5 CHAP.
11.Verify wired connections.
 
MD5：
1． HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Netlogon/Parameters /MaximumPasswordAge (REG_DWORD data type)
2． Enable storage of a reversibly encrypted form of the account's password in your domains.
3． Force a reset of the account passwords so that the new passwords are stored in a reversibly encrypted form.
采用系统为Windows2003，必须安装AD,DNS,IAS,CA
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
下表列出了不同的认证方式需要用到的证书：

Authentication Type
Certificates on Wired client
Certificates on IAS Server
PEAP-MS-CHAP v2
Root CA certificates for issuers of    IAS server computer certificates
Computer certificates
EAP-TLS
Computer certificates
User certificates
Root CA certificates for issuers of    IAS server computer certificates
Computer certificates
Root CA certificates for issuers of    wired client computer and user certificates
EAP-MD5 CHAP
None
None

 
开始配置......
该文档演示 EAP-TLS （智能卡与证书）进行验证的方式：
1、配置 CA
A、使用共享文件夹会保留证书的副本方便后面导入证书的操作（该证书为CA的根证书 Root CA ）
B、配置用户证书：证书颁发机构-》管理证书模板-》复制模板“用户”到一新建模板LAN Access。
LAN Access的属性为：使用者名称-》不选择“电子邮件名”&“在使用者名称中部不包含电子邮件名”
安全：选择对应的用户具有自动注册的权限。
C、新建要颁发的证书模板-》选择我们刚刚新建的LAN Access
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
2、配置IAS
A、先将IAS在AD注册
B、设置IAS属性，端口必须和交换机上设置一致
C、新建RADIUS客户端，客户端IP地址为交换机IP地址（Authenticator），共享的密码也和交换机上所设置密码一致
D、新建远程访问策略，在用户或组访问我们采用用户访问方式进行测试，在EAP类型选择智能卡与证书
E、设置策略属性，授予远程访问权限，编辑配置文件，选择客户端请求IP地址
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
3、配置AD
A、组策略-》Windows 设置-》帐户策略-》密码策略-》 启用可还原的加密来储存密码
B、添加用户，该用户是分配给接入客户端的用户。在这里，我们以admin为例，用户密码和所接入计算机用户admin密码一致。
C、修改用户属性，远程访问权限设置为允许访问。
D、在客户端计算机上设置将计算机加入此域中。加入后可以在Computers上查看到。
E、使用MD5进行认证的话，修改用户属性，远程访问权限设置为允许访问。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
4、配置AD组策略属性
A、在计算机配置－》windows设置－》安全设置配置公钥策略
新建自动证书申请类型为“ 计算机”
B、设置受信任的根证书颁发机构，导入我们最开始建立的证书（Root CA）。
C、在用户配置－》windows设置－》安全设置－》配置公钥策略－》自动注册证书，选择“续订过期证书、更新未证书并删除吊销的证书”&“更新使用证书模板的证书”
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
5、客户端配置
A、本地连接-》属性-》验证-》启用此网络的IEEE 802.1X验证
B、EAP类型：智能卡与证书
C、智能卡与证书的属性— 在此计算机上使用证书， 使用简单证书选择， 验证服务器证书—〉受信任的根证书颁发机构：选择 Root CA.
服务器配置到此结束，下面开始配置交换机。
交换机使用FOUNDRY FastIron Edge Switch 2402
1. The IP address or name of a primary RADIUS server, the shared secret, UDP ports for authentication and accounting, and failure detection settings.
2. The IP address or name of a secondary RADIUS server, the shared secret, UDP ports for authentication and accounting, and failure detection settings.
下面是相关配置文档:
BR-FES2402 Router#sh run
Current configuration:
!
ver 03.4.01Tc1
!
!
!
!
vlan 1 name DEFAULT-VLAN by port
 router-interface ve 10
!
!
dot1x-enable
 enable ethe 2 to 24
!
aaa authentication dot1x default radius
radius-server host 192.168.100.1 auth-port 1812 acct-port 1813 default key 1 $Gs
ig@U/－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ dot1x
interface ethernet 3
 dot1x port-control auto
!
interface ethernet 4
 dot1x port-control auto
!
interface ethernet 5
 dot1x port-control auto
!
--More--, next page: Space, next line: Return key, quit: Control-c^C
BR-FES2402 Router#
BR-FES2402 Router#
BR-FES2402 Router#
BR-FES2402 Router#
BR-FES2402 Router#sh run
Current configuration:
!
ver 03.4.01Tc1
!
!
!
!
vlan 1 name DEFAULT-VLAN by port
 router-interface ve 10
!
!
dot1x-enable
 enable ethe 2 to 24
!
aaa authentication dot1x default radius
radius-server host 192.168.100.1 auth-port 1812 acct-port 1813 default key 1 $Gs
ig@U/ dot1x
interface ethernet 3
 dot1x port-control auto
!
interface ethernet 4
 dot1x port-control auto
!
interface ethernet 5
 dot1x port-control auto
!
interface ethernet 6
 dot1x port-control auto
!
interface ethernet 7
 dot1x port-control auto
!
interface ethernet 8
 dot1x port-control auto
!
interface ethernet 9
 dot1x port-control auto
!
interface ethernet 10
 dot1x port-control auto
!
interface ethernet 11
 dot1x port-control auto
!
interface ethernet 12
 dot1x port-control auto
!
interface ethernet 13
 dot1x port-control auto
!
interface ethernet 14
 dot1x port-control auto
!
interface ethernet 15
 dot1x port-control auto
!
interface ethernet 16
 dot1x port-control auto
!
interface ethernet 17
 dot1x port-control auto
!
interface ethernet 18
 dot1x port-control auto
!
interface ethernet 19
 dot1x port-control auto
!
interface ethernet 20
 dot1x port-control auto
!
interface ethernet 21
 dot1x port-control auto
!
interface ethernet 22
 dot1x port-control auto
!
interface ethernet 23
 dot1x port-control auto
!
interface ethernet 24
 dot1x port-control auto
!
interface ve 10
 ip address 192.168.100.2 255.255.255.0
!
!
!
!
!
!
end

6、验证
Authentication Server(WIN2003)：192.168.6.10
Authenticator(SWITCH)：192.168.6.1
 Client(WINXP)：192.168.6.20
A、事件查看器查看
B、PING测试
C、Sniffer抓包测试
部分中文参考网站：
 
 
 
 
 
 
 
部分英文参考网站： See the following resources for further information:
·         Windows 2000 Service Pack 4 (SP4) at http://www.microsoft.com/windows2000/downloads/servicepacks/sp4/default.asp
·         Internet Authentication Service Web site at http://www.microsoft.com/windowsserver2003/technologies/ias/default.mspx
·         Security Services Web site at http://www.microsoft.com/windowsserver2003/technologies/security/default.mspx.
·         Windows XP Wireless Deployment Technology and Component Overview at http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/wificomp.mspx.
·         Troubleshooting Windows XP IEEE 802.11 Wireless Access at http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/wifitrbl.mspx.
 
For the latest information about Windows XP, see the Windows XP Web site at http://www.microsoft.com/windowsxp.
 
 
   
 
 
标签
#interface #authentication #windows #passwords #server
#access
deflag
关注
【信息科学与工程学】【安全领域】第一百四十二篇 零信任网络解决方案中的算法04
weixin_49199313的博客
05-18 1207
对于节点 i， 有功和无功功率平衡方程为： Pi​=Vi​∑j=1N​Vj​(Gij​cosθij​+Bij​sinθij​)， Qi​=Vi​∑j=1N​Vj​(Gij​sinθij​−Bij​cosθij​)。下风向某点 (x,y,z)的浓度 C为： C=2πuσy​σz​Q​exp(−2σy2​y2​)[exp(−2σz2​(z−H)2​)+exp(−2σz2​(z+H)2​)]， 其中 Q是源强， u是风速， H是有效源高， σy​,σz​是水平和垂直扩散参数。
身份认证——802.1x认证和MAC认证讲解
热门推荐
m0_49864110的博客
03-16 1万+
用户通过802.1x客户端输入用户和密码来向接入设备发送EAPoL-Start报文来触发认证，接入控制器收到客户端发送的EAPoL-Start报文之后，会向客户端发送EAP-Request/Identity报文，要求用户发送身份标识。EAP中继方式中，用来对用户密码进行加密处理的挑战字由认证服务器生成，设备端只是负责将EAP报文封装在RADIUS报文中透传认证服务器，整个认证处理都由认证服务器来完成。其实就是接入控制端主动触发进行802.1x认证，不过不通过用户密码认证了，而是通过MAC进行认证。
16.802.1X 认证详解到企业级安全准入方案
最新发布
u010819622的博客
04-23 489
IEEE 802.1X是基于端口的网络访问控制协议，通过EAP（可扩展认证协议）实现客户端、接入设备与认证服务器之间的认证交互。该协议采用C/S架构，包含客户端、接入设备和RADIUS认证服务器三个组件，核心是在端口层面控制网络访问权限。802.1X通过EAPoL协议在数据链路层封装EAP报文，支持多种认证方法如EAP-MD5、EAP-TLS等。认证流程包括身份验证、挑战响应等步骤，最终由认证服务器决定是否授权访问。配置涉及RADIUS服务器设置、接入设备参数调整和客户端认证方式选择，同时支持哑终端MAC认
802.1x之EAP-TLS测试方法
写作是为了更好的思考
09-12 2105
CA证书一般是由权威的认证机构发出，用来验证该机构签名的证书，持有CA证书的设备可以验证对端的证书是否由自己信任的机构颁发的。在我们内部使用证书时，我没可以自己充当CA认证机构，管理私钥和CA证书，使用他们签名服务器、客户端证书。2、使用证书请求文件server_csr.pem、CA私钥、CA公钥生成服务器证书（正常情况下自己不拥有CA私钥，是把证书请求文件发给认证机构，由认证机构返回证书）进行802.1x EAP-TLS认证时需要IPC、服务器分别存储CA证书、设备证书、私钥，通过交换证书实现身份验证。
eap wifi 证书_如何以编程方式安装在Android的CA证书（对于EAP无线网络配置）？
weixin_39903571的博客
01-17 398
My objective:Create an EAP WiFi configuration - including the CA Certificate - in Android programmitcally.Problem:How do I install a CA Certificate programmatically (and then reference that certificat...
Radius+无线控制器+深信服行为管理 部署无线802.1X认证
wendr的博客
06-15 6164
Windows Server - 建设篇 第三章 Radius+深信服行为管理+无线控制器 部署无线802.1X认证
ubuntu搭建freeradius服务器，有线网和无线网进行802.1X认证
zet的博客
05-28 3760
802.1X认证的有线和无线配置
一文最全详解WiFi认证与安全
m0_50146396的博客
10-29 2128
手机连接WiFi的时候，可以看到WiFi有一些高级设置，比如安全性、EAP方法等，那这些到底有什么用呢？
面试计算机网络原理及网络协议
m0_57379855的博客
03-08 2549
面试计算机网络原理及网络协议计算机网络原理及网络协议网络是什么常见的状态码有哪些URI 和 URL 的区别什么是 SSL开放式系统互联模型OSI（七层）第一层：物理层第二层：数据链路层第三层：网络层第四层：传输层第五层：会话层第六层：表示层第七层：应用层常见端口21：FTP211:下载22：ssh25: SMTP,发邮件的端口53:DNS默认端口139:SMB共享465：SMTPS,SSL安全协议109：pop2，收件协议110：pop3，收件协议995: pop3S,SSL安全协议143：IMAP协议，邮
【信息科学与工程学】计算机科学与自动化——第六篇多媒体01 主要参数和算法
weixin_49199313的博客
12-24 1252
参数分类参数名称技术定义典型值范围测量方法优化目标采样参数采样频率每秒采集样本数8-384 kHz设备规格高保真≥48kHz量化参数采样深度每个样本量化位数8-32 bit设备规格高保真≥16bit声道配置声道数量独立音频通道数1-128声道配置参数立体声≥2声道音频格式格式类型音频数据格式PCM, ADPCM, MP3, AAC格式标识按需选择动态范围最大动态范围最大最小声压比40-144 dB声学测试越大越好频率响应频率范围可响应频率范围20-20kHz ±3dB频率扫描20-20kHz平坦信噪比信号噪
【信息科学与工程学】【安全领域】第六十七篇 防火墙产品02
weixin_49199313的博客
03-16 634
传统DDoS防御基于静态阈值，在复杂、自适应的攻击下（如脉冲攻击、低速攻击）效果不佳。将防火墙的防御动作（如触发清洗、调整限速阈值、更新黑白名单）建模为智能体的动作，通过与环境（网络流量）的交互学习最优防御策略。
【信息科学与工程学】【数据中心】【智算中心】【容灾备份】 第二十五篇 智算中心业务容灾-第一部分
weixin_49199313的博客
12-29 1206
设计原则具体实施关键技术监控指标恢复策略测试验证冗余设计​1. 多副本数据存储2. 多路径网络连接3. 多活计算资源4. 多实例服务部署1. 数据复制技术2. 负载均衡技术3. 集群管理技术4. 容器编排技术1. 副本健康状态2. 路径可用性3. 资源利用率4. 服务实例状态1. 自动故障转移2. 数据一致性修复3. 资源重新调度4. 服务重新注册1. 故障注入测试2. 切换演练3. 性能压测4. 数据一致性验证自动化恢复​。
CA证书说明与使用
qq_54089476的博客
09-02 9517
对于私钥/公钥的文件后缀有时候用 key/crt，有时候用 pem，其实这不重要，重要的是文件中的内容格式。主要功能为：证书发放、证书更新、证书撤销和证书验证。生成CA证书之后可以直接部署在服务器上，也可以通过下面的步骤，用CA证书签署服务器公钥生成服务器证书，然后部署到服务器上。2、CA机构对请求文件进行身份确认，邮箱、第三方数据库、当面认证和身份确认等，根据身份认证等级来划分不同的认证方式。通过openssl生成证书，需要生成CA密钥对和CA证书，而第三方CA机构颁发只需要提供一个请求文件即可。
再续:802.1x验证
差点就差一点点的专栏
01-18 1593
 前期写了两篇关于802.1X验证的文章(一篇是H3C相关的:http://blog.csdn.net/deflag/archive/2007/10/16/1827115.aspx,另一篇是CISCO相关的:http://blog.csdn.net/deflag/archive/2007/10/12/1821880.aspx),发表之后,很多的网友加我MSN,打我电话,询问相关问题),但是由于时间
Android11的QPR1安全更新后802.1X连接WIFI问题解决方案
quzuqiang的博客
05-25 2287
802.1X认证连接WIFI时没有不认证证书选项
Android14 wifi CA证书选择 添加不验证选项
chenxy80的博客
01-21 2358
需求： 在CA证书选项中添加 [不验证] 选项，选择 [不验证]选项后，选项下面出现warning信息“未指定任何证书。您的网络连接将不是私密连接”在进入菜单 WIFI->添加网络->安全性选择（WPA/WPA2/WPA3-Enterprise)后，出现CA证书选项。2.代码中添加处理逻辑，在CA证书选项中添加 [不验证] 选项，选择 [不验证]选项后，选项下面出现warning信息。您的网络连接将不是私密连接”修改点packages/apps/Settings。添加 [不验证] 选项。
802.1x网络认证配置实战实例详解
weixin_28968525的博客
10-28 1615
htmltable {th, td {th {pre {简介：802.1x是一种基于端口的网络访问控制标准，通过EAP协议实现设备接入认证与授权，广泛应用于企业网、校园网和公共Wi-Fi等场景。本配置实例详细展示了在真实网络环境中部署802.1x的完整流程，涵盖RADIUS认证服务器设置、交换机或无线接入点配置、客户端认证参数设定及策略定义等内容。通过实际操作指导，帮助网络管理员提升网络安全防护能力，并实现精细化的流量计费与权限管理。
H3C交换机dot1X+AD+IAS+CA配置实验（分享错误经历）三
weixin_34144848的博客
01-19 166
３、IAS 及客户机不同的认证方式配置 经过多次试验，对交换机、IAS和客户机之间的认证方式总结了如下规律，不一定完全正确，还请各位帮忙验证 ````````````````````````````````````````````````````````````````````````````````````````````````````````````````````...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值