需要ACS加根证书做信任ACS+WLCDOT1X.docx

1、需要ACS加根证书做信任ACS+WLCDOT1X ACS 4.1 和 WLC 4404联动做MAC_FILTERING硬件环境：Cisco 4404 wlc that run software version 4.1.185Cisco secure acse 1113 that run software version 4.1Cisco 1131AG series LAPs802.11a/b/g wireless clientACSE1113需要打2个path才可以applACS-4.1-set-ip-CSCsm73656-Patch.zipapplAcs-4.1.1.23.5.zipSETP

2、 1 Add triple A client， authen type using radius cisco aironet or airospace Setp 2 , configure triple a server Step 3 安装一个证书，如果你要做EAP类型的认证，那么acs install certificate 是必须的 EAP 类型的认证，只需要server端才需要安装cerificate，client是不需要安装的，哪什么认证才需要双向cerificate呢，在cisco 只有EAP-TLS/TTLS是需要server、client都需要证书验证的，在这里我们就不做证书了，

3、因为普通的ms wireless client是不可以通过cerificate认证的，需要购买client，所以这里只做wpa_TKIP MAC FILTERING。 1、 产生一个自签证书，点击 acs certificate setup Generate self-signed certificate里面的设置参照右侧的help进行配置就可以了 。2、 acs certificate authority setup 这步是把该self-signed certificate 存储在local，这样在下一步的 trust list中才会出现该cer4, edit certificate tru

4、st list Setp 4、 gloab authentication setup这里就是用什么就选什么Setp5 add user在这里需要建立client mac database，建立的user的时候需要主意，我使用的是 no delimiter,cisco官方是用colon的，但是我用colon返回的错误是 password invalid。WLC SETUP CONFIGURESetp1 在security选项中建立external radius server指定 external radius server ip address , shared secret Setp2 进入W

5、LAN 选项的子项中，点new建立一个ssidApply 后进入edit界面以上的步骤就是wlc的基本配置了，主要的是在 layer 2 security 中选上wpa和mac filtering指定authentication server。在MAC FILTERING选项中 编辑这步就不要用什么连接符了。如果使用mac filtering on local wlc ，就选择new ，把client mac database 建立在wlc上，它和用radius mac filtering 唯一不同的是mac database 存在的地方不同，根据实际需要来确定使用哪种方式，mac filte

6、ring on radius server 适用于较大的环境，集中管理比较方便。Client configure配置ms wireless client，选择WPA TKIP，选择EAP类型因为前面说了，除了EAP-TLS，其他的EAP验证，client是不要cerificate的，所以把验证服务器证书给勾掉，再选择验证方法那，点配置，把复选框勾掉，这是在和MS-AD结合的时候自动登录的。在这里不需要。点击无线连接，会出现一个提示，点击它出现输入凭据对话框，输入user/password 这样就可以登录到网络中来了，可以检验下获得的ip 是否正确，用ping进行测试。检查：在 wlc 上可以使

7、用 show macfilter summary show macfilter detail 00-1c-bf-76-05-8fDebug aaa all enable debug macfilter 00-1c-bf-76-05-8f 来验证。注： 我们在做验证的时候，选择的是WPA+ TKIP ，MAC FILTERING，通过测试，mac filtering 是第一个需要匹配的，如果在acs database 中，把mac dorp掉， client是不允许被接入到网络中的，如果我更改client 的认证方式，在连接网络的同时，client的配置会自动被更改为在wlc 上设置的wpa+tkip 的方式，不知道为什么。同时注意cache会记录你登陆的验证信息的。