WLAN登錄安全管理

WLAN集成AD憑據管理

如今，在大部分的企業網絡中，都使用Active Directory來作為為IT營運的基礎建設，因此，對于網管人員來說，為了讓身分驗證管理機制更有效率，往往會希望盡可能讓所有的網絡服務都連接于現有網域來進行認證，其中，集成無線局域網絡（WLAN）認證的需求更是重要的一環。

RADIUS客戶端設置

其實，只要在Active Directory網域中，安裝網絡政策服務器角色，就可以在其管理界面，展開至“RADIUS客戶端及服務器→RADIUS客戶端”節點，在“動作”窗格中點擊“新增”超鏈接。在“新增RADIUS客戶端”頁面中，首先請確認已勾選了“啟用此RADIUS客戶端”，接著，建議您在“好記的名稱”字段中輸入無線局域網絡基站的廠牌名稱，然后輸入此基站的IP地址以及點擊“驗證”按鈕來確定可以連接。最后，再設置一組共享密碼（手動），關于這組共享密碼務必牢記，因為后續將在基站的設置中輸入。請切換至“進階”頁面繼續。

在“進階”頁面中，請從“廠商名稱”下拉選單中選取相對的無線接入點的廠牌，或是直接選擇“RADIUS Standard”也是可以的。點擊“確定”，回到“RADIUS客戶端”節點頁面中，看到我們所創建的無線接入點連接設置。

值得注意的是，在這個頁面中是可以新增多個不同用途的RADIUS客戶端，例如，您可以將VPN等遠程連接的服務，加入到同一部RADIUS服務器中來進行驗證。若需要修改任一RADIUS客戶端設置，只需要針對該項目點擊“屬性”即可。

設置連接政策

接下來請點擊至“政策→連接要求政策”節點下，在選取默認現有的政策項目之后點擊“屬性”。開啟默認的連接政策屬性之后，切換到“設置”頁面中，點擊至“驗證方法”頁面，將“覆蓋網絡政策驗證設置”、“Microsoft加密驗證版”項目以及旗下的“用戶在密碼到期后可以變更密碼”項目選中，在“EAP類型”窗口中只要保留“Microsoft Protected EAP（EAP）”項并且點擊“編輯”。

在“設置受保護的EAP屬性”頁面的“證書發給”下拉選單中，選擇本地的服務器證書，將“啟用快速重新連接”項選中，點擊“確定”即可。

設置無線設備（AP）

完成了網絡政策服務器的安裝與設置之后，接下來設置無線接入點，在此以一部簡易型的AP設備為例。在連接登錄此設備的管理頁面后，點擊至“無線網絡→無線網絡加密設置”節點頁面，選取“WPA/WPA2”項目，在版本中建議您選擇“WPA2”，加密方式可以選擇“AES”，接著輸入RADIUS 服務器的IP地址（也就是網絡政策服務器）與前面步驟中所設置好的RADIUS 密碼，至于 RADIUS 服務器使用通訊端口,則可以保留默認值即可。

關于WPA與WPA2:WPA全名為 Wi-Fi Protected Access，顧名思義就是一種用以保護無線網絡存取的安全標準。WPA2是WPA的第二個版本，它的設計完全符合了IEEE 802.11i無線局域網安全標準，適用于企業的無線局域網絡安全管理中。其實,有些設備中（包括Windows 7/Windows Server 2008 R2操作系統）所提到的WPA-Enterprise/WPA2-Enterprise,指的也就是WPA/WPA2。而需要特別為每個使用者設置相同的預先共享密鑰（PSK）則稱為WPA-Personal或WPA2-Personal，較適用在小公司或SOHO環境。

安裝客戶端證書

完成了RADIUS服務器（網絡政策服務器）與無線局域網絡基站的配置之后，接下來我們便可以找一部Windows 7以上版本的計算機，來進行相關連接測試設置，建議您在設置前計算機已經開機登錄了Active Directory。

在開啟IE瀏覽器之后，連接至證書服務器網站（例 如 ：https://dc01/certsrv），點擊“下載CA證書、證書鏈結或CRL”超超連接。在“下載CA證書、證書鏈結或CRL”頁面中，點擊“下載CA證書”的超鏈接。緊接著，將文件選擇以cer類型保存在任一安全位置即可。在此，筆者將證書文件保存在Windows桌面上，對該文件點擊鼠標右鍵，選擇“安裝證書”。接著，將會開啟證書匯入向導窗口，在“證書存放區”頁面中，選取“將所有證書放入以下的存放區”，然后點擊“瀏覽”選至“受信任的跟證書授”。點擊“下一步”。

在“完 成證書匯入向導”頁面中點擊“完成”。

設置無線客戶端連接

接下來請開啟Windows客戶端的“網絡和共享中心”頁面，點擊“管理無線網絡”超鏈接。接著，將會開啟“管理使用的無線網絡”頁面，在此，您將會看見所有曾經連接過的無線局域網設備項目，在找到前面步驟中所設置的RADIUS客戶端的無線網絡項目之后，針對點擊鼠標右鍵，選擇“屬性”。在無線網絡屬性的“安全性”頁面，將安全性類型設置為“WPA2-Enterprise”，而加密類型則選“AES”。在“選擇網絡驗證方”字段中選“Microsoft Protected EAP（EAP）”并且點擊“設置”。

注意：在“安全性”頁面中的“每次登錄時都記住我在此連接的認證”選項請務必勾選。

在“受保護的EAP屬性”頁面中，將“確認服務器證書”勾選，然后在“受信任的根證書授權單位”列表中，找到安裝的證書項目并勾選，將“啟用快速重新連接”選項勾選之后，點擊“設置”按鈕。在“EAP MSCHAP屬性”頁面，將“連接時：自動使用我的Windows登錄名稱及密碼”項勾選即可。

完成上述設置后，趕快試一下您的Windows 7無線局域網絡集成Active Directory驗證的登錄。