CAMS与AD配合做域统一认证的典型配置

CAMS与AD配合做域统一认证的典型配置一、组网需求：支持802.1X的交换机；CAMS服务器；MicrosoftActiveDirectory；iNode客户端。二、组网图：设备说明：NAS：S3952CAMSV2.1R0121SP1MicrosoftActiveDirectory5.2iNodeV2.4-R0213三、配置步骤：前提条件是CAMS，AD，NAS，User均路由可达。NAS可以采用802.1X认证或者Portal认证，这里已802.1X认证为例。1．配置NAS#配置Radius服务器[S3952]radiusschemeh3c[S3952-radius-h3c]server-typeextended[S3952-radius-h3c]primaryauthentication192.168.1.121812[S3952-radius-h3c]primaryaccounting192.168.1.121813[S3952-radius-h3c]keyauthenticationtest[S3952-radius-h3c]keyaccountingtest[S3952-radius-h3c]user-name-formatwithout-domain#配置认证域[S3952]domainh3c[S3952-domain-h3c]radius-schemeh3c[S3952]domaindefaultenableh3c#配置VLAN[S3952]Vlan2[S3952-vlan2]PortinterfaceGigabitEthernet1/1/1toGigabitEthernet1/1/4[S3952]Interfacevlan2\管理Vlan[S3952-Interface-vlan-2]ipadd192.168.1.99255.255.255.0[S3952]Interfacevlan1\用户Vlan[S3952-Interface-vlan-1]ipadd192.168.0.1255.255.255.0#启动802.1X认证[S3952]dot1x[S3952]dot1xauthentication-methodpap[S3952]dot1xinterfaceEthernet1/0/1toEthernet1/0/48注：这里只是列出了802.1X的所有必须的配置，还有一些高级选项可以自行配置，如versioncheck，accountingon等。2．安装ADWindows2000server和windowsserver2003都带有ActiveDirectory，这里已windowsserver2003为例说明AD的安装过程。1)．首先为服务器配置正确的IP地址并连接网络。2)．选择“开始-所有程序-管理工具-配置您的服务器向导”3)．在欢迎界面点击“下一步”4)．直接点击“下一步”5)．会出现如下进度框6)．选中“第一台服务器的典型配置”，点击下一步7)．在ActiveDirectory域名一栏输入AD的域名，例如：“h3c.com”，然后点击“下一步”8)．输入NetBIOS域名（推荐采用默认值），然后点击“下一步”9)．选择“否，不转发查询”，点击“下一步”10)．确认选项正确后点击“下一步”11)．点击“确定”，开始服务器配置12)．放入操作系统光盘后，点击“确定”13)．配置过程当中会重新启动操作系统，无需人工干预，当下一次登陆系统后会继续完成域控制器的配置14)．点击“下一步”15)．点击“完成”，至此域控制器安装完毕3．配置AD1)．配置域用户，选择“开始-所有程序-管理工具-ActiveDirectory用户和计算机”2)．右键菜单服务器图标“h3c.com”，选择“新建-组织单位”3)．填写组织单位名称，中英文皆可4)．右键菜单刚才新建的组织单位，选择“新建-用户”5)．填写用户相关信息，用户姓名中英文皆可，登陆名务必填写英文6)．创建密码，由于Windows2003的域用户缺省密码策略，创建密码时需保证一定的复杂性。例子中创建为“h3c.com”，同时选中“用户不能更改密码”和“密码永不过期”7)．单击“完成”，用户创建完毕，重复如上步骤，创建多个用户。4．配置CAMS1)．配置接入设备参数：系统管理系统配置接入设备配置这里必须将NAS的上行端口（靠近CAMS的端口）地址添加到起始地址和结束地址之间。共享密钥和端口必须与设备的配置一致。2)．配置LDAP服务器：组件管理LDAP组件LDAP服务器管理这里的BaseDN就是指所要同步AD中目录的范围，即CAMS只同步该BaseDN路径下（包含所有子目录）的所有用户。若BaseDN设置为根域h3c.com则会同步该AD中的所有用户。管理员DN指具有查询权限的AD中的用户，可以与BaseDN不在同一目录。管理员DN和BaseDN的命名规则为：从左到右，依次从最小子目录到根目录，中间用逗号隔开。根目录前缀为dc=，原始目录（如users）和用户名（chenning）前缀为cn=，新建的目录前缀为ou=，用户名前缀。对于AD服务器，用户名属性建议修改为saMAccountName3)．同步测试：在LDAP服务器管理中选择建立的LADP服务器，点击行末的同步，若设置正确，会出现同步成功的提示。4)．配置LDAP同步配置：组件管理LDAP组件LDAP同步配置增加出现如下的配置选项，选择LDAP服务器，配置过滤条件。对于AD，建议过滤条件配置为：(&(distinguishedName=*)(userPrincipalName=*))。该过滤条件的意含义是选出同时具有distinguishedName和userPrincipalName属性的用户。点击下一步选择个列的属性，建议如下图配置，再选择相关的服务和计费方式。由于AD中的用户密码加密不可逆，不能同步到CAMS中，用户每次都会到AD中认证，所以这里的CAMS本地密码可以任意设置。5)．同步用户：在LDAP同步配置中选择同步配置，点击行尾的同步，则CAMS系统会自动同步AD中的所有BaseDN中的用户到CAMS中。若同步成功会会出现”同步LADP服务器用户成功”的提示。同步成功后会在这里的同步用户管理和用户管理帐号用户中发现LDAP用户。至此，CAMS与AD同步完成，用户可以采用同步过来的用户进行LDAP认证。若需要进行域统一认证，还需进行如下两步配置：5．配置客户端1).在iNode客户端中点击新建创建域统一认证了连接2)选择基本的认证方式，本例中为802.1X认证，再选择域统一认证连接3)然后会在iNode中发现新的域统一认证连接，再在操作配置客户端运行方式中选择启动域统一认证。6．配置用户电脑1)设置PC的网络连接，配置正确的DNS服务器。本例中DNS服务器和AD在同一台服务器上。2)将PC加入域：在我的电脑属性计算机名更改中输入域名，再输入域管理员的用户名和密码，用户就可以加入到域中了。重起PC，至此域统一认证配置完毕。四、预期效果：在PC登陆系统时，使用之前创建的域用户并选择登陆到域点击确定后，会在登陆窗口的右侧出现“正在进行域统一认证，请等待”的提示，之后成功登陆。若在CAMS中配置了EAD检查，则登陆到系统后，iNode还会对系统进行安全检查，并采取相关策略。五、配置关键点：1．NAS上802.1x的认证模式必须为pap。2．CAMS的服务和NAS中配置的默认域都必须采用AD中域的NetBIOS名称，默认情况下是域的第一部分，例如h3c.com，则如上两处都应设置为h3c。CAMS不能完全同步AD中用户数据问题的解决办法利用CAMS的LDAP组件同步微软ActiveDirectory中的用户数据时，只能同步部分用户。这是由于同步过滤条件不恰当，请修改为：(&(distinguishedname=*)(userprincipalname=*))CAMS与AD配合进行多级域名的域统一认证时认证失败问题的解决办法AD中域名采用aaa.bbb.ccc.eee的多级域名形式时，在接入设备和CAMS上均设置域为aaa.bbb.ccc.eee。此时在windows系统中启动客户端软件，输入AD中的用户名@aaa.bbb.ccc.eee,则认证成功。但启动域统一认证时，却提示“域统一认证失败”。这是由于windows系统处理多级域名时，仅把域控制器的第一个域名字段作为用户的登录域名。修改NAS和CAMS上的域名为aaa，即可解决问题。修改CAMS服务器IP地址的办法一组网：对组网无特殊要求二问题描述：由于网络的变动需要修改CAMS服务器的IP，这时不但需要修改系统IP还需要修改相关的配置文件。三过程分析：由于CAMS的Portal服务器信息不能在控制台上修改，所以必须修改配置文件。其他的信息既可以在配置台上修改，又可以在配制文件中修改。四解决方法：Windows版CAMS：1.停止CAMS的两个服务Portalkernelserver和PortalForward.2．进入cams\etc\目录，1)记事本打开portal.conf,修改trans.kernel.ip,portal.webserver.addr,portal.web.url和portal.selfweb.url的值为新的IP,保存退出。2)记事本打开trans.kernel.conf,修改trans.kernel.ip的值为新的IP，保存退出3．启动CAMS的两个Portal服务.4．若接入设备有变化，还需要修改接入设备和portal设备。Linux版CAMS：1.停止CAMS服务：执行命令servicetomcatstop成功停止后再执行servicecamsdstop和serviceportalstop。2.修改设备IP：执行命令netconfig在图形化的界面修改服务器IP，在执行命令servicenetworkrestart3.修改CAMS的Portal配置文件：1)进入/etc/camsd/portal/2)打开文件:vidomainconfig.ini找到原接入网段的起始IP和结束IP，修改(按i插入文字，ESC退出修改)为新用户接入网段IP，保存退出(分号+shift后输入wq)。4)再打开文件:viportal.conf修改kernelAddr和WebServAddip为CAMS服务器的新IP，保存退出。5)打开文件:vitrans.conf修改trans.kernel.ip值为CAMS服务器的新IP，保存退出。4.修改CAMS接入设备配置：1)进入/root/cams/etc/，vi打开clients修改原接入设备IP为新接入设备IP，保存退出。5.检查Oracle配置的IP：进入目录：/u01/app/oracle/product/9.2.0/network/admin/，vi打开tnsnames.ora，检查(ADDRESS=(PROTOCOL=TCP)(HOST=localhost)(PORT=1521))中localhost位置，若为localhost，则不变；若为原CAMS服务器IP，则修改为新CAMS服务器IP，保存退出。6.启动CAMS服务：输入命令servicecamsdstart成功停止后再执行servicetomcatstart和serviceportalstart。CAMS以Portal认证实现EAD功能时domain问题的解决办法CAMS配合接入设备实现Portal认证的EAD功能时，若radiusscheme配置为user-name-formatwith-domain和domaindefaultenable****，则客户端直接以用户名认证会出现策略服务器无响应的问题。这是由于Portal认证是基于http协议或https协议，用户域名不能通过设备透传到客户端上，而安全认证是客户端与CAMS直接