如何添加和删除 RADIUS 客户端

更新日期： 2004年04月06日

本页内容

	目标
	适用范围
	如何使用本模块
	摘要
	如何添加 RADIUS 客户端
	如何删除 RADIUS 客户端

目标

使用本模块可以实现：

•	将远程身份验证拨入用户服务 (RADIUS) 客户端添加到 Internet 验证服务 (IAS) 服务器上。
•	将 RADIUS 客户端从 IAS 服务器上删除。

返回页首

适用范围

本模块适用于下列产品和技术：

•	Microsoft® Windows® Server™ 2003
•	Microsoft Internet 验证服务 (IAS)
•	Microsoft Active Directory® 目录服务

返回页首

如何使用本模块

本模块描述了为 RADIUS 基础结构添加和删除客户端所需要的步骤。可以将本模块中的指导用于现有 RADIUS 基础结构。

要充分利用本模块，请首先阅读“构建指南”中的模块实施无线 LAN 安全的 RxADIUS 基础结构。它使您可以更加充分地理解如何建立 RADIUS 基础结构。

返回页首

摘要

本模块描述了管理 RADIUS 基础结构并将其实现为安全无线 LAN (WLAN) 解决方案的一部分所必需的操作性过程。

本任务的目的在于授权无线接入点 (AP) 以执行 IAS 服务器的验证和记账。启用新的无线 AP 作为 RADIUS 客户端，这是在已部署的生产 IAS 服务器上需要发生的几个增量变化之一。本任务授权无线 AP 参与 IAS 服务器的 RADIUS 验证和记账。

返回页首

如何添加 RADIUS 客户端

为了最大程度地保障安全，向每个 IAS 服务器添加每个 AP 时，都应该使用伪随机密码（机密），这个密码与密码对不相同。在无线 AP 和 RADIUS 服务器之间共享 RADIUS 机密，这会加大共享机密无法长期保持机密的风险。

Windows Server 2003 企业版允许管理员批量向 IAS 添加无线 AP，只需添加专用 RADIUS 客户端子网并利用和共享机密。但是，这个策略有一个安全风险，需要慎重考虑。

解决方案实现了由这些模块中所包含的 GenPwd 脚本生成的密码随机机密。

•

向 IAS 添加单个 RADIUS 客户端

1.	在“Internet 验证服务”管理控制台上，右键单击“RADIUS 客户端”文件夹，然后单击“新建 RADIUS 客户端”。
2.	输入无线 AP 的“友好名称”和“客户端地址”（IP 或 DNS）。如果可能，应该使用 IP 地址而不是 DNS 名称，因为 IAS 会在服务器启动的时候尝试解析每个 RADIUS 客户端。在具有很多无线 APD 的大环境下，这会影响服务器能力的度量。单击“下一步”。
3.	在“客户端供应商”属性中选择“RADIUS 标准”并输入此特定无线 AP 的共享机密。注意：下面的步骤包括使用软盘或其他可移动可写媒体。请找到已格式化的媒体磁盘，标记为“服务器 MSS - IAS - 01 的 RADIUS 客户端”，在标签上，将“MSS - IAS - 01”替换为 IAS 服务器的名称。
4.	使用本指南中包括的 GenPwd 脚本来生成坚固的伪随机机密，分别给每个配置为 RADIUS 客户端的无线 AP 使用。GenPwd 将生成一个机密，它连同每个 RADIUS 客户端的友好名称一起存储在名为 Clients.txt 的文件中。GenPwd 自动以逗号分隔值的形式向当前目录中的 Clients.txt 文件追加信息。如果不存在这个文件，GenPwd 将创建一个。注意：如果您有自己的方法来生成并存储坚固的 RADIUS 机密，您可以用它来取代下面几个 GenPwd 步骤。
5.	打开一个命令提示符，将 A:\ 目录切换为当前目录。
6.	执行下列命令。务必将 [client name] 替换为无线接入点的友好名称。可以是 DNS 名称、IP 地址或其他字符串： cscript //job:GenPwd C:\MSSScripts\wl_tools.wsf /client:[client name] 创建之后，逗号分割文件可以轻松导入到电子表格或数据库应用程序中，以便参考和编辑。注意：每个 IAS 服务器和无线 AP 的 RADIUS 机密应该在计划的基础上定期变化。请确保使用 GenPwd 或其他实用工具生成坚固的机密，并将新的机密和无线 AP 名称存储在 Clients.txt 文件中。
7.	在“共享机密”和“确认共享机密”字段中输入 RADIUS 共享机密。选择“Request must contain the Message Authenticator”（申请必需包含消息验证者）属性，单击“完成”。注意：某些 RADIUS 客户端会要求配置供应商特定属性 (VSA) 才可以正常工作。请查询供应商提供的文档以获取关于 VSA 要求的信息。

返回页首

如何删除 RADIUS 客户端

•

将 RADIUS 客户端从 IAS 服务器上删除

1.	在“Internet 验证服务器”管理控制台上，选择“RADIUS 客户端”文件夹。
2.	在右侧窗格中，选择代表要删除的 RADIUS 客户端的条目，然后按 Delete 键。
3.	在提示确认的时候，单击“是”。注意：下面的步骤包括使用在前一节中创建的标记为“服务器 MSS - IAS - 01 的 RADIUS 客户端”的软盘或其他可移动媒体。在标签上，将“MSS - IAS - 01”替换为 IAS 服务器的名称。务必使用相应服务器的正确的磁盘，以避免丢失数据。
4.	找到此服务器的 RADIUS 客户端软盘，使用记事本打开 A:\Clients.txt 文件。
5.	找到并删除与要移除的 RADIUS 客户端相关联的条目。

返回页首