iMC与AD配合做域统一认证的典型配置.docx
- 文档编号:6228670
- 上传时间:2023-01-04
- 格式:DOCX
- 页数:24
- 大小:1.50MB
iMC与AD配合做域统一认证的典型配置.docx
《iMC与AD配合做域统一认证的典型配置.docx》由会员分享,可在线阅读,更多相关《iMC与AD配合做域统一认证的典型配置.docx(24页珍藏版)》请在冰豆网上搜索。
iMC与AD配合做域统一认证的典型配置
iMC与AD配合做域统一认证的典型配置
一、组网需求:
支持802.1X的交换机;iMC服务器;MicrosoftActiveDirectory;iNode客户端。
二、组网图:
设备说明:
NAS:
S3652
iMCV3.2E0401P05
MicrosoftActiveDirectory5.2
iNodeV2.4-R0213
三、配置步骤:
前提条件是iMC,AD,NAS,User均路由可达。
NAS可以采用802.1X认证或者Portal认证,这里已802.1X认证为例。
1.配置NAS
#配置Radius服务器
[H3C]radiusschemeh3c
[H3C-radius-h3c]server-typeextended
[H3C-radius-h3c]primaryauthentication192.168.1.121812
[H3C-radius-h3c]primaryaccounting192.168.1.121813
[H3C-radius-h3c]keyauthenticationh3c
[H3C-radius-h3c]keyaccountingh3c
[H3C-radius-h3c]user-name-formatwithout-domain
#配置认证域
[H3C]domainh3c//此处域名必须与AD中的域名一致。
[H3C-domain-h3c]radius-schemeh3c
[H3C]domaindefaultenableh3c
#配置VLAN
[H3C]Vlan2
[H3C-vlan2]PortinterfaceGigabitEthernet1/1/1toGigabitEthernet1/1/4
[H3C]Interfacevlan2\管理Vlan
[H3C-Interface-vlan-2]ipadd192.168.1.99255.255.255.0
[H3C]Interfacevlan1\用户Vlan
[H3C-Interface-vlan-1]ipadd192.168.0.1255.255.255.0
#启动802.1X认证
[H3C]dot1x
[H3C]dot1xauthentication-methodpap//域统一认证时必须启用PAP认证
[S3952]dot1xinterfaceEthernet1/0/1toEthernet1/0/48
注:
这里只是列出了802.1X的所有必须的配置,还有一些高级选项可以自行配置,如versioncheck,accountingon等。
2.安装AD
Windows2000server和windowsserver2003都带有ActiveDirectory,这里已windowsserver2003为例说明AD的安装过程。
1).首先为服务器配置正确的IP地址并连接网络。
2).选择“开始->所有程序->管理工具->配置您的服务器向导”
3).在欢迎界面点击“下一步”
4).直接点击“下一步”
5).会出现如下进度框
6).选中“第一台服务器的典型配置”,点击下一步
7).在ActiveDirectory域名一栏输入AD的域名,例如:
“”,然后点击“下一步”
8).输入NetBIOS域名(推荐采用默认值),然后点击“下一步”
9).选择“否,不转发查询”,点击“下一步”
10).确认选项正确后点击“下一步”
11).点击“确定”,开始服务器配置
12).放入操作系统光盘后,点击“确定”
13).配置过程当中会重新启动操作系统,无需人工干预,当下一次登陆系统后会继续完成域控制器的配置
14).点击“下一步”
15).点击“完成”,至此域控制器安装完毕
3.配置AD
1).配置域用户,选择“开始->所有程序->管理工具->ActiveDirectory用户和计算机”
2).右键菜单服务器图标“”,选择“新建->组织单位”
3).填写组织单位名称,中英文皆可
4).右键菜单刚才新建的组织单位,选择“新建->用户”
5).填写用户相关信息,用户姓名中英文皆可,登陆名务必填写英文
6).创建密码,由于Windows2003的域用户缺省密码策略,创建密码时需保证一定的复杂性。
例子中创建为“”,同时选中“用户不能更改密码”和“密码永不过期”
7).单击“完成”,用户创建完毕,重复如上步骤,创建多个用户。
4.配置iMC
1).配置接入设备参数:
业务>>接入业务>>接入设备配置
这里必须将NAS的上行端口(靠近iMC的端口)地址添加到起始地址和结束地址之间。
共享密钥和端口必须与设备的配置一致。
修改完成后请一定记得手工生效。
2).配置LDAP服务器:
组件管理>>LDAP组件>>LDAP服务器管理
iMCLDAP配置页面在用户页面中,先选择LDAP服务器配置。
选择“增加”
这里的BaseDN就是指所要同步AD中目录的范围,即IMC只同步该BaseDN路径下(包含所有子目录)的所有用户。
若BaseDN设置为根域则会同步该AD中的所有用户。
管理员DN指具有查询权限的AD中的用户,可以与BaseDN不在同一目录。
管理员DN和BaseDN的命名规则为:
从左到右,依次从最小子目录到根目录,中间用逗号隔开。
根目录前缀为dc=,原始目录(如users)和用户名(chenning)前缀为cn=,新建的目录前缀为ou=。
对于AD服务器,用户名属性建议修改为saMAccountName
3).同步测试:
在LDAP服务器管理中选择建立的LADP服务器,点击行末的<同步>,若设置正确,会出现同步成功的提示。
4).配置LDAP同步配置:
用户>>接入用户视图>>LDAP同步策略配置>>增加
出现如下的配置选项,选择LDAP服务器,配置过滤条件。
对于AD,建议过滤条件配置为:
(&(distinguishedName=*)(userPrincipalName=*))。
该过滤条件的意含义是选出同时具有distinguishedName和userPrincipalName属性的用户。
点击下一步选择个列的属性,建议如下图配置,再选择相关的服务和计费方式。
由于AD中的用户密码加密不可逆,不能同步到iMC中,用户每次都会到AD中认证,所以这里的iMC本地密码可以任意设置。
5).同步用户:
在LDAP同步配置中选择同步配置,点击行尾的<同步>,则iMC系统会自动同步AD中的所有BaseDN中的用户到iMC中。
若同步成功会会出现”同步LADP服务器用户成功”的提示。
同步成功后会在这里的<同步用户管理>和用户管理>>帐号用户中发现LDAP用户。
至此,iMC与AD同步完成,用户可以采用同步过来的用户进行LDAP认证。
若需要进行域统一认证,还需进行如下两步配置:
5.配置客户端
1).在iNode客户端中点击<新建>创建域统一认证了连接
2)选择基本的认证方式,本例中为802.1X认证,再选择<域统一认证连接>
3)然后会在iNode中发现新的域统一认证连接,再在操作>>配置客户端运行方式中选择启动域统一认证。
6.配置用户电脑
1)设置PC的网络连接,配置正确的DNS服务器。
本例中DNS服务器和AD在同一台服务器上。
2)将PC加入域:
在我的电脑>>属性>>计算机名>>更改中输入域名,再输入域管理员的用户名和密码,用户就可以加入到域中了。
重起PC,至此域统一认证配置完毕。
四、预期效果:
在PC登陆系统时,使用之前创建的域用户并选择登陆到域
点击确定后,会在登陆窗口的右侧出现“正在进行域统一认证,请等待”的提示,之后成功登陆。
若在iMC中配置了EAD检查,则登陆到系统后,iNode还会对系统进行安全检查,并采取相关策略。
五、配置关键点:
1.NAS上802.1x的认证模式必须为pap。
2.iMC的服务和NAS中配置的默认域都必须采用AD中域的NetBIOS名称,默认情况下是域的第一部分,例如,则如上两处都应设置为h3c。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- iMC AD 配合 统一 认证 典型 配置
![提示](https://static.bdocx.com/images/bang_tan.gif)