使用 802.1X 实现无线 LAN 安全性

本页内容

	本模块内容
	目标
	适用范围
	如何使用本模块
	概述
	802.1X WLAN 计划工作表
	准备安全 WLAN 的环境
	配置和部署 WLAN 身份验证证书
	配置 WLAN 访问基础结构
	让用户和计算机能够访问安全 WLAN
	配置 802.1X 网络的无线接入点
	测试和验证
	小结
	其他信息

本模块内容

本模块为您实现无线 LAN (WLAN) 安全性提供全面指导。本模块讨论了如何配置基于 Microsoft® Active Directory® 目录服务的组、如何为 WLAN 部署 X.509 证书、如何修改 Microsoft Internet 验证服务器 (IAS) 服务器设置、如何部署 WLAN 组策略，并提供了配置无线接入点 (AP) 的技巧。本模块提供了在实现基于 802.1X 和 EAP-TLS（可扩展身份验证协议 - 传输层安全性）的安全 WLAN 时所需要的所有设置。

返回页首

目标

使用本模块可以实现：

返回页首

适用范围

本模块适用于下列产品和技术：

返回页首

如何使用本模块

本模块为使用 802.1X 来实现无线 LAN 安全性提供了方法和步骤。您可以根据您的组织的具体情况对此方法加以调整。所有步骤都是模块化的，并演示了如何将方法付诸实施。

要充分理解本模块内容，请：

返回页首

概述

图 1 概括了使用 802.1X 实现 WLAN 安全性的过程，具体内容将在后面详细介绍。

图 1

配置 802.1X 基础结构的过程图

下面的列表概括描述了本模块的各个主要部分。

返回页首

802.1X WLAN 计划工作表

下表列出了本解决方案中使用的配置参数。在制定计划时可以把它们用作检查表。

这些表中的许多参数是手动设置的，具体步骤请参见本模块提供的说明。很多参数可以通过作为这些过程之一的构成部分而运行的脚本来设置，或者由脚本引用参数以便完成某些其他配置或操作任务。

注意：脚本附带的文件 readme.txt 详细描述了“构建指南”中使用的脚本。要获得脚本和 readme.txt 文件，请下载 Securing Wireless LANs - A Microsoft® Windows Server™ 2003 Certificate Services Solution，其网址为：http://www.microsoft.com/downloads/details.aspx?FamilyID=cdb639b3-010b-47e7-b234-a27cda291dad&displaylang=en（英文）。

用户定义的配置项

在开始设置过程之前，应当首先确保您已经收集或确定了下表中所有各项的设置。整个模块中，给出的示例命令使用了此处所示的假定值。可以用适合您组织的值替换这些值。需要替换为您自己值的位置以斜体显示。

表 1：用户定义的配置项

解决方案建议的配置项

除非您有使用不同于解决方案设计的其他设置的特殊需要，否则，不需要针对具体的安装情况而更改该表中指定的设置。更改此处给出的设计参数是完全可以接受的，但您应当明白这样做将偏离已经过测试的解决方案。在配置过程中或通过提供的脚本更改此处的任何值之前，请确保您完全理解更改某项设置的含义，以及该设置可能具有的依赖关系。

表 2：解决方案建议的配置项

返回页首

准备安全 WLAN 的环境

实现基于 802.1X 的安全无线网络之前，您必须优化环境中的支持性基础结构。支持性基础结构包括 Active Directory 和 DHCP 服务器。有关 WLAN 计划的全面指导，请参阅“Windows Server 2003 Deployment Kit”中的 Deploying a Wireless LAN（英文）一书，以及本模块末尾的其他信息一节中列出的其他资源。

创建 WLAN 访问所需的 Active Directory 组

您必须作为有权创建 Active Directory 安全组的用户运行下列脚本。以下脚本可以为无线身份验证证书注册、远程访问策略和无线网络组策略创建所需的组：
Cscript //job:CreateWirelessGroups C:\MSSScripts\wl_tools.wsf

该脚本创建下列基于 Active Directory 的安全组，这些安全组将在本指南的其余部分使用：

对于多域林来说，您应该在无线用户所在的域中创建这些组。虽然这不是必需的，因为它们被创建为全局组，但在本指南的其余部分中假设如此。

验证 DHCP 设置

要适应无线网络，应该用无线特有的作用范围以及比有线客户端短的 Internet 协议 (IP) 地址租约时间来配置 DHCP 服务器。向 DHCP 服务器管理员核实，确保已将 DHCP 服务器正确配置为能够支持无线解决方案。

有关无线网络 DHCP 计划的全面指导，请参阅“Windows Server 2003 Deployment Kit”中的 Deploying a Wireless LAN（英文）一书。

返回页首

配置和部署 WLAN 身份验证证书

本指南中详细描述的安全 WLAN 解决方案使用了 X.509 证书，以使用 EAP-TLS 来执行计算机和用户身份验证。以下部分详细描述了下列证书的创建和配置：

注意：请参阅“操作指南”中的管理公钥基础结构模块，以获得有关执行这些任务和角色所需的详细信息。

创建服务器身份验证的证书模板

IAS 服务器上必须要有服务器证书，才能在 EAP-TLSA 协议握手时向客户端验证计算机的身份。请让您的证书服务管理员在证书服务服务器上，使用证书模板 Microsoft 管理控制台 (MMC) 管理单元执行下列步骤，以创建服务器身份验证证书模板，以便与 IAS 服务器配合使用。

“规划指南”中的模块设计公钥基础结构讨论了如何将此类证书设置为要求证书经理批准。由于此类证书被看作是相对高价值的证书，因此您应该考虑启用此选项，以提供其他检查，防止有人注册恶性 IAS 服务器。这意味着，需要手动批准来颁发证书（尽管请求仍将由 IAS 服务器自动发送，并且一旦批准，证书会自动返回给申请者）。

创建用户身份验证的证书模板

最终用户必须要有用户证书，才能在 EAP-TLSA 身份验证时向 IAS 服务器验证自己的身份。请让您的证书服务管理员在证书服务服务器上，使用证书模板 MMC 管理单元执行下列步骤，以创建用户身份验证证书模板。

创建计算机身份验证的证书模板

在 EAP-TLSA 身份验证时，必须要有证书才能向 IAS 服务器验证计算机的身份。请让您的证书服务管理员在证书服务服务器上，使用证书模板 MMC 管理单元执行下列步骤，以创建计算机身份验证证书模板。

将 WLAN 身份验证证书添加到证书颁发机构

一旦 WLAN 身份验证证书模板配置完毕，必须将这些模板添加到证书颁发机构 (CA) 中，以启用注册。请您的证书服务管理员执行下列步骤，将证书模板添加到 CA。

在证书颁发机构 MMC 管理单元中，右健单击“证书模板”文件夹，然后选择“新建”和“要颁发的证书模板”。选择下列证书，然后单击“确定”：

注册 IAS 服务器证书

将服务器身份验证证书部署到 IAS 服务器是相对简单的操作，并且是自动进行的。请完成以下部分中的步骤，以执行此任务。

注意：如果对此证书类型选择了需要证书经理批准的选项，您将需要与 CA 管理员联系，以验证这是不是 IAS 服务器的合法请求。一旦经过确认，CA 管理员将颁发此证书。

验证 IAS 服务器证书部署

颁发已注册的 IAS 服务器证书，并将其部署到服务器证书存储的速度，取决于证书模板上的证书批准设置。由于服务器每过几个小时才会轮询 CA，因此还可能存在时间延迟。

将用户和计算机添加到自动注册的组

对最终用户来说，将 WLAN 身份验证证书部署到用户和计算机是相对无缝的过程。此过程需要局域网 (LAN) 连接、基于域的用户帐户以及已加入 Active Directory 域的计算机。

需要访问新 WLAN 的用户和计算机必须在访问新网络之前部署证书，以确保能够执行 EAP-TLS 身份验证。如果使用 Windows XP 和 Windows Server 2003，则计算机和用户证书可能会自动注册并续订，而无需最终用户输入。通过 Active Directory 安全组可以控制证书的注册和续订。

验证用户证书部署

作为已添加到“自动注册客户端身份验证 - 用户证书”组的用户登录时，请执行下列步骤。

验证计算机证书部署

在已添加到“自动注册客户端身份验证 - 计算机证书”组中的客户端计算机上，执行下列步骤。

返回页首

配置 WLAN 访问基础结构

您必须用相应的远程访问策略和连接请求设置来配置主 IAS 服务器，这些设置应当确定无线用户和计算机对 WLAN 的验证和授权。然后使用 netsh 命令将这些设置复制到具有类似角色的其他 IAS 服务器,该命令在“RADIUS 构建指南”和“操作指南”中有相应描述。此外，必须将每个 IAS 服务器唯一地配置为接受来自 RADIUS 客户端（如无线接入点）的连接。然后，必须将无线 AP 配置为利用 IAS 服务器作为身份验证和 802.1X 网络记账的源服务器。

创建 WLAN 的 IAS 远程访问策略

使用 Internet 验证服务 MMC 管理单元执行下列步骤，用无线网络的远程访问策略配置 IAS。

修改 WLAN 访问策略配置文件设置

应该进一步配置以前创建的远程访问策略，将其默认设置更改为包括合适的设置，以忽略来自 Active Directory 的用户拨入设置，这样的设置可能导致某些无线接入点出现问题。此外，应该将 RADIUS 属性设置为每隔固定的时间间隔重新验证客户端，以确保有线对等保密 (WEP) 会话密钥被刷新。有关远程访问策略设置的详细信息，请参阅“规划指南”中的使用 802.1X 设计无线 LAN 安全性模块。

验证 WLAN 的连接请求策略

将默认 IAS 连接请求策略配置为命令 IAS 直接对照 Active Directory 验证用户和计算机。执行下列步骤以验证默认连接请求策略的配置。

将 RADIUS 客户端添加到 IAS

您必须将无线接入点和 RADIUS 代理服务器作为 RADIUS 客户端添加到 IAS 后，系统才允许它们通过 RADIUS 协议使用身份验证和记账服务。要将无线接入点添加到 IAS，请在 Internet 验证服务器 MMC 管理单元中执行下列步骤。

注意：某些 RADIUS 客户端可能需要配置供应商特有的属性 (VSA) 才能正常工作。有关 VSA 要求的信息，请查阅供应商提供的文档。

可以使用本指南中的 GenPwd 脚本来生成虚拟随机、共 23 位字符的机密信息，以便由被配置为 RADIUS 客户端的每个无线接入点单独使用。GenPwd 将生成机密，并将该机密与每个 RADIUS 客户端的友好名称一起存储在 Clients.txt 文件中。GenPwd 自动将信息以逗号分隔的形式追加到当前目录内的 Clients.txt 文件中。

强烈建议将该文件保存到软盘或其他可写、可移动的媒体上，上面标注“服务器 HQ-IAS-01 的 RADIUS 客户端”，其中 HQ-IAS-01 代替您的服务器名。在“操作指南”的管理 RADIUS 和无线 LAN 安全性基础结构模块中，将使用这个特定于服务器的磁盘来执行 RADIUS 客户端的导入和导出。

应该将 RADIUS 客户端存储磁盘存储在安全的位置，此位置在需要紧急还原时应当易于访问。一旦创建，该逗号分隔文件可以很容易地导入到电子表格或数据库应用程序，以便参考和编辑。

返回页首

让用户和计算机能够访问安全 WLAN

让用户和计算机能够访问安全 WLAN 的最后几个步骤必须在 Active Directory 对象上执行。这些操作包括验证帐户权限、修改组成员身份和实现组策略。可以在控制方式下执行这些步骤，以适应分段式的部署安排，并减少环境中重大变化的风险。

验证 Active Directory 远程访问权限

Active Directory 用户帐户和计算机帐户必须具有正确的远程访问权限，以便利用远程访问策略。默认情况下，在本机模式的 Active Directory 域中帐户的远程访问权限被设置为“通过远程访问策略控制访问”；因此，通常不需要进行修改。

但是，可以使用 Active Directory 用户和计算机 MMC 管理单元来验证目标用户和计算机是否正确配置。要这样做，请检查帐户属性“拨入”选项卡上的“远程访问权限（拨入或 VPN）”设置是否选择的是“通过远程访问策略控制访问”。

将用户添加到远程访问策略组

基于 IAS 的远程访问策略使用基于 Active Directory 的安全组，来确定是否授权用户和计算机连接到 WLAN。本模块中以前创建的安全组包括下表中描述的安全组。

表 3：Active Directory 安全组

使用 Active Directory 用户和计算机 MMC 管理单元，将“远程访问策略 - 无线用户”组（WOODGROVEBANK\远程访问策略 - 无线用户）和“远程访问策略 - 无线计算机”组（WOODGROVEBANK\远程访问策略 - 无线计算机）添加到“远程访问策略 - 无线访问”组（WOODGROVEBANK\远程访问策略 - 无线访问）。

现在，可以开始用将被授予 WLAN 访问权的用户和计算机填充组结构。

注意：关于为什么应当同时启用用户和计算机对 WLAN 的身份验证的详细讨论，请参阅“规划指南”的使用 802.1X 设计无线 LAN 安全性模块。

创建 Active Directory WLAN 组策略

可以利用基于 Windows 2003 的组策略工具自动执行和实施客户端计算机 WLAN 配置。这些工具提供了“无线网络策略”设置，包括那些与基于 802.1X 的安全性和 802.11 WLAN 行为相关的设置。

要为客户端计算机创建针对新的支持 802.1X 的 WLAN 的无线网络组策略配置文件，请使用 Active Directory 用户和计算机 MMC 管理单元执行下列步骤。

注意：创建域一级的 GPO 可能不适合所有组织。请检查组织特有的组策略，以便确定 GPO 的最佳位置。

将计算机添加到 WLAN 组策略的安全组

使用基于 Active Directory 的安全组确定哪些计算机应用了无线网络策略，从而自动配置了无线 802.1X 网络设置。

您应提前部署基于 802.1X 新网络的无线网络组策略设置，然后在无线接入点上部署 802.1X 设置，并激活新 WLAN。这样可确保客户端计算机有足够的机会下载并应用基于计算机的组策略，即使它们只是偶而连接到有线 LAN。

此外，在通过 Windows 安装并配置 WLAN 网络接口卡 (NIC) 之前，可以先将组策略设置应用到计算机。一旦安装了无线 LAN NIC，将自动应用无线网络组策略。

请注意，无线网络设置将在下一个计算机组策略刷新间隔中在客户端计算机上更新。可以使用“GPUPDATE /force”命令强制刷新计算机策略。

验证 WLAN 组策略的应用

在已添加到 Active Directory 内“客户端计算机无线配置”安全组中的客户端计算机上执行下列步骤。

注意：计算机必须安装无线网络适配器并被 Windows 识别，之后，无线网络策略才可见。

返回页首

配置 802.1X 网络的无线接入点

配置无线接入点的过程各不相同，这取决于设备的构造和型号。但是，无线接入点供应商通常为设备配置说明提供以下设置：

请参阅您的供应商提供的文档，以获得有关配置 802.1X 无线接入点的信息。

如果您环境中的用户目前正在使用无安全性设置或静态 WEP 设置的无线接入点，您需要开发一个迁移计划。有关从现有无线网络迁移的信息，请参阅“规划指南”中的使用 802.1X 设计无线 LAN 安全性模块。虽然提供各个供应商无线接入点的配置说明不属于本指南的范围，但在本模块中可找到与无线接入点相关的安全性主题的论述。

返回页首

测试和验证

现在，您应当利用一台客户端计算机来测试基于 802.1X WLAN 的功能，该客户端计算机已用计算机证书、用户证书、无线网络组策略和 WLAN NIC 进行了配置。

返回页首

小结

完成本模块中的步骤后，您将：

此时，您应当拥有安全工作的、基于 802.1X 的 WLAN。

返回页首

其他信息

返回页首