iMC EIA MSCHAPv2+LDAP认证

典型配置举例

资料版本：5W115-20230822

产品版本：iMC EIA (E0630)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

2.3.1 配置Windows AD服务器·· 2

2.3.2 配置EIA服务器·· 4

2.3.3 配置接入设备·· 18

2.3.4 使用iNode客户端认证·· 19

1 介绍

本文档用于介绍iMC EIA MSCHAPv2 LDAP认证方法。PEAP-MSCHAPv2认证类型是EAP证书认证的一种。当LDAP服务器使用Windows AD时，LDAP用户支持EAP-PEAP-MSCHAPv2认证方法。

2 配置举例

2.1 组网需求

某公司计划使用iMC EIA MSCHAPv2 LDAP认证系统控制员工接入公司网络的权限。

本案例中终端用户通过iNode客户端，使用802.1X证书认证；EIA中增加LDAP服务器，并配置EAP证书MSCHAPv2认证方法；LDAP服务器为Windows AD。

具体的组网如图1所示。EIA服务器IP地址为192.168.1.230，LDAP服务器IP地址为10.114.119.41，接入设备IP地址为192.168.30.100。

注：本例中各部分使用的版本如下：

· EIA：iMC EIA 7.3 (E0630)；

· Windows AD：安装于Windows Server 2012；

· 接入设备：H3C Comware Software, Version 7.1.045, Release 2432P06

· iNode PC：iNode PC 7.3 (E0585)。

图1 组网图

2.2 配置前提

· 接入设备支持802.1X协议，且与iMC路由可达；

· LDAP服务器为Windows AD，且与iMC路由可达，安装Windows AD可参考3 附录；

· 服务器证书申请完成。

2.3 配置步骤

2.3.1 配置Windows AD服务器

(1) 在h3c.com下新建test组织，在test组织下新建test01用户，该用户的Base DN为ou=test,dc=h3c,dc=com。

图2 用户数据目录

(2) 新建一个虚拟计算机“eiaserver”，并参考2.3.2 4. 重置虚拟计算机密码执行ModifyComputerAccountPass.vbs脚本文件，以重置虚拟计算机的密码。

图3 新建虚拟机

(3) 查看administrator管理员所在的文件夹为Users，所以管理员DN为cn=administrator,cn=users,dc=h3c,dc=com,管理员密码为administrator的密码iMC123。

图4 管理员

(4) 确认LDAP服务器上认证监听端口，缺省值“389”

2.3.2 配置EIA服务器

配置EIA服务器时，建议按照以下顺序配置：

· 增加接入策略

· 增加接入服务

· 增加LDAP服务器

· 重置虚拟计算机密码

· 增加LDAP同步策略

· 同步LDAP用户

· 导入服务器证书

· 配置系统参数

· 增加接入设备

1. 增加接入策略

增加接入策略的方法如下：

(1) 选择“用户”页签。单击导航树中的[接入策略管理 > 接入策略管理]菜单项，进入接入策略管理页面，如图5所示。

图5 接入策略列表

(2) 在接入策略列表中，单击<增加>按钮，进入增加接入策略页面，如图6所示。

¡ 接入策略名：输入“CA策略”；

¡ 首选EAP类型：下拉框中选择“EAP-PEAP”；

¡ 子类型：下拉框中选择“EAP-MSCHAPv2”；

¡ 其他参数均保持默认值。

图6 增加接入策略页面

(3) 单击<确定>按钮，接入策略增加完成。返回接入策略列表，在列表中查看新增的接入策略，如图7所示。

图7 查看增加的接入策略

2. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。

增加接入服务的方法如下：

(1) 选择“用户”页签。单击导航树中的[接入策略管理 > 接入服务管理]菜单项，进入接入服务管理页面，如图8所示。

图8 接入服务列表

(2) 在接入服务列表中，单击<增加>按钮，进入增加接入服务页面，如图9所示。

配置接入服务参数如下：

¡ 服务名：输入“CA服务”；

¡ 服务后缀：输入“cert”；

¡ 缺省接入策略：选择1. 增加接入策略新增的“CA策略”；

¡ 其他参数保持缺省值。

图9 增加接入服务页面

表1 EIA中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	iMC中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀

服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。本案例中iMC服务配置了服务后缀，认证连接用户名使用X@Y，接入设备中配置user-name-format with-domain命令。

(3) 单击<确定>按钮，接入服务增加完毕。返回接入服务列表，在列表中查看新增的接入服务，如图10所示。

图10 查看增加的接入服务

3. 增加LDAP服务器

(1) 选择“用户”页签。单击导航树中的[接入策略管理 > LDAP业务管理 > 服务器配置]菜单项，进入LDAP服务器配置页面，如图11所示。

图11 LDAP服务器列表

(2) 在LDAP服务器列表中，单击<增加>按钮，进入增加LDAP服务器页面，如图12所示。

¡ 服务器名称：输入服务器名称，在EIA中唯一。本例为“Windows AD”。

¡ 服务器IP地址：输入LDAP服务器的IP地址，该参数和Base DN的组合必须唯一。本例为“10.114.119.41”。

¡ 服务器类型：LDAP服务器是Windows AD，推荐选择微软活动目录，所以本例保持缺省值“微软活动目录”。

¡ 管理员DN：输入LDAP服务器的管理员（用户可以自行创建管理员用户），必须输入能定位到管理员的绝对路径。本例为2.3.1 (3)中的管理员DN“cn=administrator,cn=users,dc=h3c,dc=com”。

¡ 管理员密码：输入LDAP服务器管理员的密码，本例为2.3.1 (3)中administrator的密码，系统利用管理员DN和密码与LDAP服务器建立连接。

¡ Base DN：输入LDAP服务器中保存用户数据的目录路径，必须使用LDAP服务器上的绝对路径。本例为2.3.1 (1)中的Base DN“ou=test,dc=h3c,dc=com”。

¡ 启用MS-CHAPv2认证：选择“是”，为Windows AD服务器启用MSCHAPv2认证。

¡ 认证方式：选择“通过虚拟计算机认证”。

¡ 域控服务器地址与LDAP服务器地址一致：由于本案例中域控服务器与LDAP服务器是同一服务器，二者地址相同，所以选择“是”。

¡ 域控服务器全名：输入域控服务器的全名“12r2-sql12sq1.h3c.com”。

¡ 虚拟计算机名称：输入虚拟计算机的名称“eiaserver”。

¡ 虚拟计算机密码：输入虚拟计算机的密码，并再次输入虚拟计算机的密码以确保二者一致。

¡ 其他参数：保持缺省值。

图12 增加LDAP服务器1

图13 增加LDAP服务器2

(3) LDAP服务器信息配置完成后，单击<检测>按钮，测试服务器的连通性。如果服务器信息正确，检测结果如图14所示。

图14 检测结果

(4) 单击<确定>按钮，增加LDAP服务器操作完成。在列表中查看新增LDAP服务器，如图15所示。

图15 LDAP服务器增加成功

4. 重置虚拟计算机密码

在域控服务器上增加虚拟计算机后，需要执行ModifyComputerAccountPass.vbs脚本文件重置虚拟计算机的密码。

(1) 选择“用户”页签。单击导航树中的[接入策略管理 > LDAP业务管理 > 参数配置]菜单项，进入LDAP参数配置页面，如图16所示。

图16 LDAP参数配置

(2) 点击“修改计算机密码脚本”对应的链接，将虚拟计算机密码脚本文件保存到本地，如图17所示。以文本编辑器打开该脚本文件，修改虚拟计算机的对象值和密码并保存，如图18所示。在域控服务器上执行该脚本文件，使重置后的虚拟计算机密码生效。

图17 修改虚拟计算机密码脚本文件

图18 修改虚拟计算机对象值和密码

5. 增加LDAP同步策略

(1) 选择“用户”页签。单击导航树中的[接入策略管理 > LDAP业务管理 > 同步策略配置]菜单项，进入同步策略配置页面，如图19所示。

图19 同步策略列表

(2) 在同步策略列表中，单击<增加>按钮，进入增加同步策略页面，如图20所示。

¡ 同步策略名称：输入LDAP同步策略的名称，在EIA中必须唯一。本例为“LDAP同步策略”。

¡ 服务器名称：在下拉框中选择“Windows AD”。

¡ 子Base DN：输入LDAP服务器中保存用户数据的子目录路径。同步策略同步该目录下的用户数据。子Base DN用LDAP服务器上的绝对路径来表示，且必须是Base DN或其子集。本例为“ou=test,dc=h3c,dc=com”。

¡ 同步的用户类型：本例以选择“接入用户”的方式进行介绍。

¡ 增加同步策略时，只有选择接入用户，新增的同步策略才属于接入用户类型的LDAP同步策。

¡ 增加同步策略时，只有选择设备管理用户，新增的同步策略才属于设备管理用户类型的LDAP同步策略。

¡ 同步选项：选择同步选项，本例选择“用户同步”、“新增用户及其接入账号”、“为已存在的用户新增接入账号”和“过滤计算机账号”。

- 自动同步：每天按照系统参数中“LDAP同步/备份任务”设置的时间进行同步。

- 按需同步：iMC EIA系统中不存在、而LDAP服务器中存在的用户进行接入认证时，EIA自动将认证请求转给LDAP服务器进行校验。如果用户通过认证，系统将自动将此用户从LDAP服务器同步到iMC中。需要注意的是，如果iMC中用户相关的License已达授权数量的上限，则无法进行同步，同时强制用户下线。LDAP按需同步功能只能同步采用PAP和EAP-MD5方式认证的用户，不能同步采用CHAP和任何证书认证的用户。PEAP/MS-CHAPv2认证方式支持LDAP按需同步用户特性需要具备的条件是：LDAP按需同步用户申请的服务，需要配置缺省接入策略，而不能配置为“禁止接入”，而且这个缺省接入策略需要配置为PEAP/MS-CHAPv2认证方式。当一个按需同步用户首次发起EAP认证时（此时还拿不到用户的密码信息），EIA会检查这个LDAP临时用户是否符合上述条件，符合则把这个用户同步为正式用户，无论随后的认证能否通过。

- 启用第三方认证：勾选该选项时，该同步策略同步过来的LDAP用户认证时会做第三方认证，当不勾选时，做LDAP认证。

- 新增用户及其接入帐号：如果在LDAP服务器中存在某个用户，而在iMC平台中不存在该用户，则同步时会在iMC平台中新增该用户，并在EIA组件中新增对应的接入用户。

- 为已存在用户新增接入帐号：如果在LDAP服务器和iMC平台中都存在某个用户，而在EIA组件中不存在该用户对应的接入用户，则同步时会在EIA组件中新增对应的接入用户。

- 仅同步当前节点下的用户：如果选中该项，则只同步子BaseDN下的用户，不同步子BaseDN下属OU的用户；如果不选中，则同步子BaseDN及其下属OU中的所有用户。

- 过滤计算机帐号：如果去勾选该项，则计算机帐号会被同步为接入用户。

- 发送密码通知短信：通过短信发送密码通知。

- 发送密码通知电子邮件：通过电子邮件发送密码通知

¡ 其他参数：保持缺省值。

图20 增加同步策略

(3) 单击<下一步>按钮，进入其他信息配置页面，如图21所示。

¡ 配置接入信息：

- 密码：可自定义填写，本例输入密码为“iMC123456”。

- 其他参数：保持缺省值。

¡ 配置接入服务：如果同步策略对应的LDAP服务器的服务同步方式为基于AD组，则使用该同步策略同步的用户所申请的服务由用户所属LDAP组、同步策略中LDAP组和服务的对应关系、LDAP服务器上LDAP组的结构共同决定。选择服务的原则如下：选择以用户为根，在用户所属的直接组和间接组所组成的树状结构中，层数上离用户最近且优先级最高的服务；如果同步策略对应的LDAP服务器的服务同步方式为手工指定，可以为绑定用户指定服务，本例指定“CA服务”的服务。