Shunze 學園 - 《分享》802.1X認證

Shunze 學園 >電腦資訊學系 >吃軟不吃硬 > 《分享》802.1X認證

哈囉，還沒有註冊或者登入。請你[註冊|登入]

顯示成列印模式 | 增加到我的最愛

作者

主題

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2370
shunze 離線

《分享》802.1X認證

802.1X 是一種IEEE標準，代表已驗證的網路存取權。
用戶端通過身份識別，才會授與完整網路存取權，是一種有線、無線均可使用的認證機制。

802.1X定義了三個角色，Supplicant、Authenticator與Authentication server。
Supplicant 為提出認證要求的Client。
Authentication server　驗證者，一般為Radius Server。
Authenticator 中間人，將前Client端傳遞的帳密傳給Authentication server，
再由Authentication server將驗證結果回傳給Authenticator授予Supplicant對應的網路權限。

在Win7中啟用有線/無線的802.1X認證，方式如下。

有線
有線網卡預設是沒有啟用802.1X認證的。

要啟用802.1X認證，需於服務中啟用Wired AutoConfig服務。

然後才會出現認證頁籤來進行802.1X的相關設定。

而下方的“每次登入都記得此連線之認證“，則視需要來勾選。
像順子這樣的工程師需要測試不同身份的登入驗證，就不適合勾選。

若發現明已經啟用802.1X，但總是無法出現帳密之登入對話框？
請檢查網路驗證方法的設定。

確認一下驗證伺服器是否需要憑證？

而在預設狀況下，Win7的802.1X會使用登入Windows時的帳密來做為驗證。

這在SSO單一登入時非常好用！

但若您登入的帳密是另外一組，那這個地方就要取消勾選。
否則永遠都不會出現帳密之登入對話框喔～

無線
Win7無線在802.1X的使用上與有線差不多。
只要進入無線的管理頁面，

然後在安全性類型中選擇802.1X，其它細項設定都與有線相同。

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2014-07-10, 21:36

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2370
shunze 離線

《分享》Win7搭配802.1X做SSO

Win7搭配802.1X做Single Sign On，
第一步一定是啟用Wired AutoConfig服務，而且要改為自動，
這樣重開機才會自動啟用此服務。

然後在網卡啟用802.1X驗證

接著勾選“自動使用我的Windows登入名稱及密碼”，
這樣才會把登入系統時的帳號/密碼直接做為802.1X驗證時的帳號/密碼。

最後啟用“對此網路啟用單一登入”。

這個地方要特別注意的是指定驗證模式的選項有4種，預設是“使用者或電腦驗證”；
這裏一定要改為“使用者驗證”。
若採預設的“使用者或電腦驗證”會因為電腦驗證的優先權大於使用者驗證，
造成驗證失敗(以電腦名稱及無密碼送驗)，而讓SSO失去了效果。

所以若要在使用登入系統時，同步進行802.1X認證的話(SSO)，一定要選擇“使用者驗證”。

重開機測試，驗收成果。

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2014-08-19, 10:55

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2370
shunze 離線

《分享》802.1X於AD網域中透過GPO部署實作

要透過Radius對使用者進行802.1X認證，使用者的電腦必需啟用Wried AutoConfig服務，
然後在設定802.1X的驗證內容。

透過AD的GPO進行佈署時，自然也必需朝這兩個目標來進行，
以下以Window 2008 R2與Win7為示範環境，實作如下。

先在AD中建立一個新的組織單位，例如 802.1X。
然後在群組原則管理中，於此單位上進行GPO的部署設定，
之後只要把要套用的電腦，拖拉到這個組織單位，802.1X的GPO就可簡單的派送完成。
開啟群組原則管理編輯器，點選剛才建立的組織單位，按下滑鼠右鍵，建立新的GPO。

GPO名稱建議以識別度較高的名稱來命名。
然後於此GPO上按下滑鼠右鍵選擇”編輯”，進行內容的編輯。
進入群組原則編輯後，第一步先啟用Wired AutoConfig服務。
位置在電腦設定 / 原則 /Windows設定 / 安全性設定 / 系統服務
第二步驟，新增有線網路的相關設定.
位置在電腦設定 / 原則 /Windows設定 / 安全性設定 / 有線網路

於有線網路中按下滑鼠右鍵，新增一個新的有線網路原則。

於此原則中輸入識別度較大的名稱及描述。

在安全性頁籤中，將驗證式變更為“使用者驗證”。

然後點選內容，取消“確認伺服器憑證”，並確認自動使用登入的名稱及密碼是否有勾選。
讓驗證工作進行時，能以使用者登入的帳號/密碼進行驗證。

回到安全性頁籤，按下進階按鈕，勾選單一登入，讓使用者登入電腦時，立即進行驗證。
設定完成後，剛才那筆新的GPO就會出現了。
AD的GPO也建立完成。

然後把要部署的使用者電腦拖拉到802.1X這個組織單位。

若要讓設定立即生效，可於AD上輸入gpupdate /force，讓GPO立即生效。

gpupdate /force
回到使用者的電腦，重開機後，檢查網路卡設定，可發現802.1X已勾選。

而其它802.1X的設定也一如我們所規劃的進行調整。

802.1X透過GPO部署到前端電腦到此順利完成。
至於該先透過GPO導入802.1X部署在前端電腦上，還是先在Switch的port上啟用Radius認證機制？
答案是 先透過GPO導入802.1X認證。

理由是在電腦上導入802.1X認證後，即便Switch上port未啟用對應的認證，電腦還是可以透過這個port使用網路；
不過一旦在port上啟用Radius認證後，而電腦網卡還沒啟用802.1X的話，電腦是無法透過此port上網的。

所以在實際環境中導入802.1X認證時，應該先透過GPO進行802.1X的部署，
待全面部署完成後，再針對要認證的port去啟用Radius認證機制，才能無縫接軌～

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2014-11-13, 18:09